ОЛ
Есть apollo server express где graphql выступает как мидлвейр для экспресса, очень удобно сделать авторизацию и прокинуть ее в контекст graphql например. Методов реализации много. Как по мне самое красивое решение это директивы на graphql. С ними я ограничиваю по ролям доступ к типам, квери, мутациям, проверяю авторизацию в подписках и запросах. Говорю же, пару минут гугла заменит все вопросы
