или другой автоизации

Такая же типизация в json api

И в бизнес логике валидировать поля

Тебе что в rest что в gql нужно писать правила авторизации. Если бизнесс логика требует возвращать рядом с респонсом ошибки, то возвращай. Но при этом количество затраченых усилий все равно будет меньше в gql

Количество затраченных усилий - бездоказательно. Я так же голословно могу утверждать, что бизнес логика в результате будет одинаковая на бэке так точно

это так же бездоказательно как и твои агрументы о том, что json api === gql

Потому что система типов graphql должна делать что-то автоматически, но не в этом случае.

мы всегда можем использовать первый вариант, и повесить авторизацию на gql

но мне такой подход не нравится, так как мы сильно завязываемся на него (gql)

Первый вариант - вранье, с этим уже разобрались

Я в json api тоже могу выкинуть 500 ошибку когда мне что-то не нравится

Предлагаю в качестве проверки сделать так:

Вы пишете резолвер, а я контроллер

А потом сравниваем код

нужно быть разсудительным. GQL это спецификациая, которая описывает способ общения клиент - сервер. Далее, когда клиент формирует запрос и поля, которые он хочет получить в ответ. Мы должны создавать наиболее эфективные (во всех смыслах) решения. Поэтому, если бизнесс логика такова, что часто роли меняются и нам нужно давать возможность возвращать частично ответ, то проще всего сделать те поля nullable, и да, для части модели мы частично потерям типизаю. В противном случае просто зарубать запрос и возвращать unauthorized, если это допустимо

Конечно нет

вполне себе можешь, если это допустимо

только это тупо

:)