Para isso podes colocar a verificação no controller, ou de uma forma simples na route como mencionas na pergunta:
Ou seja, partindo do princípio que está tudo bem com o teu sistema de autenticação, e se só o utilizador login é que pode aceder a essa rota ("... os usuários onde o user_id for igual ao id do usuário logado."), podes/deves fazer: