Альтернативный подход

Вы также можете занести его в черный список…

userSchema.set('toJSON', {
   transform: function(doc, ret) {
      delete ret.passwordHash;
      return ret;
   }
});