Получив запрос на получение сообщения и связанных с ним комментариев, проверьте, отправил ли пользователь токен в заголовках запроса. вы можете использовать для этого простой блок if-else. если вы используете сеансы, проверьте, есть ли у пользователя активный сеанс. Поэтому, если эти условия соблюдены, запросите документы с комментариями и верните их в ответ, иначе просто верните сообщение.

во внешнем интерфейсе, если ответ, полученный от сервера, не имеет комментариев, комментарии являются нулевыми (это действительно зависит от того, как вы отправляете ответ), тогда просто покажите сообщение о том, что Пользователь должен войти в систему

Редактировать 1

в выражении в объекте request есть заголовки, и вы можете отправить токен в этих заголовках и получить к нему доступ следующим образом:

request.headers['your-token-name']

после этого вы должны подтвердить токен и предоставить или отказать в доступе к содержимому.

Теперь предположим, что доступ предоставлен и декодирован, токен сохранен в объекте запроса, например, в переменной с именем decoded. Сейчас

route.get('/:postId?', async(req, res, next)=>{

//place the validate you postId format

try {
 
    const post = await Posts.findOne({postId:req.params.postId})
    if (!post)
        return res.json({success:false, message:'Post not found'})

    if (req.decoded !== undefined || req.decoded !== null){
        const comments = await Comments.find({/*Your condition*/ })
        return res.json({success:true, comments: comments, post:post})
    }else{
        return res.json({success:true, message:'Login to view the comments', post:post})
    }



} catch (error) {
    next(error)
}})

Это очень простой код, позволяющий получить простое представление о том, как он работает в экспресс-бэкэнде. Теперь вам также нужно написать промежуточное ПО для проверки токена.

В этом случае, если токен отправлен, проверьте его. если он действителен, предоставить доступ, иначе вернуть доступ запрещен. Что-то вроде этого

App.use(async (Request,Response,Next)=>{
try {
    let sentToken = Request.headers['access-token'];
    if (sentToken !== undefined && sentToken !== null){
        Request.decoded = await verify(sentToken,'your secret key');
        if (!isTokenValid(Request.decoded))
            return Response.status(403).send({success:false, message:'Please Sign Up or login to continue'});
    }
    await Next();
} catch (error) {
    return Next(error);
}});