Крупные компании (тот же Apollo) топят за единый граф.
Security through obscurity такой себе подход. Если всё реализовано правильно, можно быть спокойным и не скрывать интроспекцию, не дробить схему на для админов и неадминов и т.д.
Согласен! А в принципе, такое утверждение можно отнести к любой разработке. Независимо от используемых инструментов и технологий. Но только если знаешь все нюансы этих инструментов и их учитываешь.
И это наверно тупо выборки из базы. Без каких либо тяжелых действий. Хотя наверно в случае построения апи на графе все-все более-менее тяжелые процессы надо запускать через очередь. Иначе одним таким запросом сервер прикажет долго жить.