关于 egg-graphql 鉴权部分有什么好的方案

`graphql` 在授权这块目前有好的方案吗？

参考之前的 issue 总共两种方案：

1. 授权代码分散在每个业务的 `resolver` 里
1. 加中间件拦截

登录验证之类的，分散在各个业务 `resolver` 里确实不友好。加中间件方式 `query` 里面全是字符串，要手动去解析或正则匹配吗？都感觉都不太理想。

```graphql
type Query {

# 登录
login(username: String! password: String!): User!
# 登出
logout: Result!

# 用户
user(id: Int): User!
# 用户列表
userList(input: UserQueryInput): UserResult!
}
```

请问大家有什么好的方式推荐吗，或贴伪代码？