[Что не так с GraphQL]… И как с этим бороться

Для разграничения доступа никто не мешает использовать те же самые директивы… @hasRole(...)