@dreamernekit прав мне там полностью хватает, там ACL и есть возможность каждой роли навешать where со всеми or, and и всякие conditions, так же можно данные брать с header, но только те, которые с приставкой X-Hasura.
Я с hasura взял только query, так как мутации нужны со своей бизнес логикой. schema stitching делал.
На мутации отдельно права вешал с помощью graphql-shield