graphql под ноду из коробки это не позволяет делать
GraphQL по спеке (для бэкендеров) грубо говоря это формат объявления функций резолверов. Положи функцию так, опиши аргументы и возвращаемые значения. И все.
Там нет ни авторизации, не сервера какого-то, ни сабскрипшенов. Тупо метод graphql(schema, 'query {}').
Все остальное надо городить уже самому. Если http-сервер, то что-то более комплексное это apollo-server. Если сабскрипшены, то pubsub опять таки аполовский.
Короче на сам GraphQL бочку катить что там того или сего из коробки нету - бессмыслено. Они к этому и не стремились. Их задача была поженить бэкендеров с фронтендерами дав язык запросов.
А вот уже серверную тему, тему хранения и обслуживания запросов они скинули на опенсорсеров. Т.к. фейсбуковский сервак слишком кастомный и интимный и нет смысла его опенсорсить.