Какой соответствующий код состояния HTTP нужно вернуть, если пользователь пытается войти в систему с неверным именем пользователя и паролем, но в правильном формате?

Ну, вы можете запросить модель Bar для _id всех документов с помощью testprop: true, затем выполнить поиск $in и заполнить bars в модели Foo с массивом тех _id вы получили от первого запроса ..: P

Возможно, это считается «В клиенте»: P просто мысль.