Facebook no menciona la autenticación para su biblioteca GraphQL.

Supongamos que tengo una tabla de usuarios que se puede obtener de GraphQL y no deseo revelar información de los usuarios a nadie que la solicite, excepto el usuario conectado, ¿a qué nivel debo agregar la capa de autenticación?

¿En el nivel de esquema al mutar un estado "conectado"?

O tal vez pasando parámetros adicionales a lagraphql función que actualmente solo tomaquery yschema ?