Como fazer com que o usuário só tenha acesso ao que é dele?

Sugiro você implementar um Route Middleware para atingir esse efeito.

Exemplo bem simplificado:

<?php

namespace App\Http\Middleware;

use Closure;
use App\Models\TodoList;

class UserOwnsTodoList
{
    public function handle($request, Closure $next)
    {
        $user_id = Auth::id();
        $list_id = $request->route()->list_id;
        $list = TodoList::find($list_id);

        if($list->user->id === $user_id) {
            return $next($request);
        } else {
            $message = 'Você não é dono dessa lista!';

        return redirect()
            ->route('error route')
            ->with(compact('message'));
        }
    }
}

Pra funcionar isso, vai depender de você ter feito:

• uma relationship TodoList belongsTo User no TodoList Model
• registrar esse middleware no kernel em protected $routeMiddleware
• e também no routes/web algo assim: Route::middleware(['UserOwnsTodoList', 'outro middleware', 'etc']);

Extra: já previ que provavelmente você vai acabar reutilizando alguma query pra selecionar 1 ou várias listas desse User. Nesse caso sugiro um scope no model. Algo assim:

public function scopeMyLists($query, $user_id) {
    $query->whereHas('user', function($query) use ($user_id) {
        $query->where('user_id', '=', $user_id);
    });

    return $query;
}

E pra usar em qualquer lugar que chamar o model...

$my_lists = TodoList::myLists($user_id);

Opa Ricardo, beleza? Vamos por partes:

Eu consegui implementar a lógica do middleware, e aparentemente está funcionando :D só estou tendo um problema para renderizar a página de erro. Aparece o seguinte erro:

localhost redirected you too many times. Try clearing your cookies. ERR_TOO_MANY_REDIRECTS(já limpei os cookies)

O fluxo está sendo esse:

1- Usuário não é o dono daquela lista, então no middleware eu faço:

            return redirect()->route('todo_list.forbidden');

1. Essa rota aponta para um método do TodoListController que simplesmente retorna uma view

Route::get('todo_list/forbidden', 'TodoListController@forbidden')->name('todo_list.forbidden');

 public function forbidden() {

        return view('todo_list.no-permission');
    }
}

Você tem alguma idéia do que possa ser?

Aqui está o commit que fiz realizando o que você me passou:

https://github.com/luandacosta/Laravel-TodoList/commit/a1bc41558b9aba1ba137969bb37f8efabfe44c7f

A parte extra eu não entendi muito bem.

Aqui você definiu um Route::resource e em seguida um route::get

https://github.com/luandacosta/Laravel-TodoList/blob/a1bc41558b9aba1ba137969bb37f8efabfe44c7f/routes/web.php

O middleware está afetando inclusive a rota do forbidden, gerando um loop infinito de redirect.

Uma solução talvez seja inverter a ordem dessas 2 linhas.

A parte do extra anota pq mais tarde você vai querer dar uma otimizada no código e deixá-lo mais enxuto (DRY, SOLID, design patterns etc). Me add no GitHub e te explico mais lá ricardoaugusto.