1. Le sugiero encarecidamente que no mantenga su área de juegos abierta en producción. Un parque infantil es una aplicación web con su propia complejidad y, por lo tanto, sus propias vulnerabilidades. Ver Hacking GraphQL Playground
2. La autenticación se maneja en GraphQL exactamente igual que en REST. En realidad, incluso puede tener una autenticación REST sobre su aplicación GraphQL. Puede encontrar mucha más información aquí sobre cómo administrar la autenticación, la autorización y el control de acceso correctamente en GraphQL aquí: Autenticación, autorización y control de acceso para GraphQL

Para 1) el patio de recreo se activa o desactiva con esa bandera gráfica que tiene allí. En cuanto a asegurarlo, le gustaría usar un medio en el que verifique un token entrante de algún tipo y permita/rechace en función de la verificación de ese token.

2. GraphQL funciona exactamente de la misma manera que un punto final REST en ese sentido. Los tokens en los encabezados son el estándar.