а доступ к логам на бэке есть? потому что обычно если дело в неправильной передаче параметров то grapfql выбрасывает читаемую ошибку а не internal server error
микросервис с гкл?
что мешает его перехватить xss и удобно ли каждый раз ходить в базу за юзером?