会话墙全局守卫：从请求头解析 Better Auth 会话并挂 req.sessionUser，否则抛 401。
req.sessionUser
Resolves the Better Auth session from the incoming request headers. Attaches req.sessionUser on success; otherwise throws 401.
S11 · 高危#4 收口：本守卫经 AuthModule 注册为全局 APP_GUARD（deny-by-default 会话墙）， 所有路由默认要求已登录会话。仅显式标注 @Public() 的路由（存活探针、签名校验的入站回调） 经 Reflector 读回旁路元数据后放行。其余守卫（TenantIsolation/Authorization/PlatformOperator/Quota） 仍逐路由叠加，运行于本全局守卫之后。UserStatusService 暂停联动保持纵深防御（403）。
AuthModule
APP_GUARD
@Public()
Reflector
UserStatusService
解析并校验会话：@Public 路由旁路，否则无会话 401、已暂停 403。
@Public
执行上下文。
放行时为 true；否则抛异常。
true
会话缺失或非法时。
账号已停用时。
会话墙全局守卫：从请求头解析 Better Auth 会话并挂
req.sessionUser，否则抛 401。Remarks
Resolves the Better Auth session from the incoming request headers. Attaches
req.sessionUseron success; otherwise throws 401.S11 · 高危#4 收口：本守卫经
AuthModule注册为全局APP_GUARD（deny-by-default 会话墙）， 所有路由默认要求已登录会话。仅显式标注@Public()的路由（存活探针、签名校验的入站回调） 经Reflector读回旁路元数据后放行。其余守卫（TenantIsolation/Authorization/PlatformOperator/Quota） 仍逐路由叠加，运行于本全局守卫之后。UserStatusService暂停联动保持纵深防御（403）。