- Guard-first Auth-Architektur dokumentiert - RequestUser als einzige User-Wahrheit etabliert - Keine Auth-Logik in Services - Public-Routen explizit via @Public() - Vorbereitung für JWT ohne Service-Änderungen