Это так с любым формализованным протоколом. Только GQL слабо формализованный протокол. Семантика параметров функций известна лишь конечным точкам маршрута.
А как без серверлеса проверять секурити-то? Вот допустим мы хотим, чтобы автор статьи, модератор хаба и админ могли редактировать статью, а остальные только читать.