Авторизация выглядит так:
1. Юзер вводит данные и они отправляются на другой сервер, где он получает токен1
2. Я отправляю токен1 на сервер(мой) и получаю инфу о юзере через API
3. Если в БД такого юзера нет, создаю и логиню, если есть просто логиню
4. Генерирую токен2(мой) и отправляю юзеру, сохраняю его в localStorage
5. При каждом запросе посылаю Authorization: Bearer <token2>
6. Получается запросы кроме login должны обрабатываться token guard-ом, а login моим кастомным, который как раз и проверяет кто это такой и авторизует