1) Это что получается по вашему коду при join происходит вызов на каждую строчку вида getbyID() ?
2) так и не понял как вы решили проблему допустим чтобы одним пользователям возвращался объект с одними полями допустим {user: "abc"} а другим пользователям полный объект.
Сейчас это не реализовано, но можно где-то в БД держать список полей, доступных роли. При запросе к API Gateway можно сравнить запрашиваемые поля с доступными и, в случае если запрошено что-то лишнее, вернуть ошибку
GraphQL-gRPC API Gateway на Java