Как выполнить @auth на уровне поля для двунаправленного @connection «один ко многим» с помощью AppSync GraphQL Transform?

Я пытаюсь выяснить, как вы можете защитить на уровне поля один-ко-многим @connection с @auth от мутаций, которые не должны быть разрешены. (то есть: запретить конкретному пользователю запускать мутацию, которая в конечном итоге приведет к вставке сообщений от имени другого пользователя.)

Начиная с примера защиты мутации на уровне поля: https://aws-amplify.github.io/docs/cli/graphql#авторизация на уровне поля

Я попытался сделать что-то вроде этого:

type User @model @auth(rules: [{ allow: owner, ownerField: "id" }]) {
  id: ID!
  posts: [Post]
    @connection(name: "UserPosts")
    @auth(rules: [{ allow: owner, ownerField: "id" }])
}

type Post @model {
  title: String!
  user: User!
    @connection(name: "UserPosts")
    @auth(rules: [{ allow: owner, ownerField: "userPostId" }])
}

Затем скажите, что уже есть пользователь с идентификатором regular-user-id По-видимому, мои правила авторизации не мешают другому пользователю, скажем, с идентификатором: malicious-user-id запустить эту мутацию:

mutation {
  createPost(input:{
    title:"Oh this is BAD!"
    postUserId: "regular-user-id"
  }) {
    title
  }
}

Выполнение простого запроса, чтобы убедиться, что это действительно произошло:

query {
  getUser(id:"regular-user-id"){
    posts{
      items
      {
        title
      }
    }
  }
}
=> 
{
  "data": {
    "getUser": {
      "posts": {
        "items": [
          {
            "title": "Regular User title"
          },
          {
            "title": "Oh this is BAD!"
          },
        ]
      }
    }
  }
}

Я пробовал разные способы выяснить это и не смог найти никакой документации о двунаправленной аутентификации на уровне полей. Я довольно новичок в AppSync, поэтому я думаю, что, должно быть, что-то не понимаю, но это настолько распространенный сценарий использования, что я действительно удивлен, что нет больше документации об этом.

Некоторая помощь была бы очень признательна.