Route guards có bảo mật API thật sự không?

Không.

Route guard chỉ kiểm soát navigation phía client để cải thiện UX, ví dụ redirect user chưa login hoặc chặn rời form chưa lưu. Bảo mật thật phải nằm ở backend/API authorization vì user có thể gọi API trực tiếp hoặc sửa code client. Guard nên được xem là lớp UX, không phải security boundary.