зависит от реализации GraphQL сервера, в absinthe мы это делали при помощи миддлвера, в type-graphql есть система гардов, в apollo server есть плагины — хз можно ли их юзануть для этой цели
при этом выдача и валидация токенов — не задача graphql сервера, этим занимается авторизационный сервер и гейтвей, сам он только проверяет валидность скоупов перед вызовом резолверов