Используйте параметр options для вызова mongoose.connect , чтобы указать пароль, а не включать его в строку URL:
options
mongoose.connect
mongoose.connect('mongodb://localhost/test', {user: 'username', pass: 'p@ssword'}, callback);