Как работают Guards в NestJS?

Guard — класс реализующий CanActivate, возвращает boolean или Promise. true — запрос проходит дальше, false — 403 Forbidden. Идеален для авторизации. Имеет доступ к ExecutionContext (request, response, handler). Применяется через @UseGuards() или глобально. Популярный паттерн: JwtAuthGuard проверяет токен, декоратор @Roles() на эндпоинте, RolesGuard проверяет права. Guards выполняются после middleware но перед interceptors/pipes.