Nick SzaunigandClaude Sonnet 5
cd24523ea5
Beim Umstellen von PermissionsGuard auf Fail-Closed wurde der @Public()-Check vergessen. JwtAuthGuard ueberspringt bei @Public() zwar die Authentifizierung, aber PermissionsGuard laeuft als eigenstaendiger, separat registrierter APP_GUARD trotzdem mit - und verweigerte seitdem jede Route ohne @RequirePermission/ @AnyAuthenticatedUser, selbst wenn sie @Public() war. Betroffen: health und health/ready (die gemeldeten 403), aber ebenso Login, SSO-Flow und die oeffentliche Herkunftsseite. PermissionsGuard prueft jetzt @Public() als erstes und laesst diese Routen durch, genau wie JwtAuthGuard es bereits tut. Regressionstest ergaenzt. Co-Authored-By: Claude Sonnet 5 <[email protected]>