User.find().select('-password') - правильный ответ. Вы не можете добавить select: false на Схеме, поскольку он не будет работать, если вы хотите войти в систему.
User.find().select('-password')
select: false
Для этого можно использовать Firebase Remote Firebase Remote Config