Как организовать ошибки валидации vs бизнес-ошибки?

Validation/GraphQL layer — невалидный документ/типы; бизнес — в resolvers через errors в payload или throw с extensions.code. Единообразие контракта важнее «только throw».

Разбор

• Mutation payload { user, userErrors { field message } } — паттерн Shopify-like.
• Не смешивайте 401/403 без политики HTTP status.
• Клиенты должны ветвиться по code.
• Логируйте внутренности отдельно от клиентского message.

Пример

{ "errors": [{ "message": "Forbidden", "extensions": { "code": "FORBIDDEN" } }] }

Итог

Договоритесь о едином error contract: extensions и/или error payload.