Cómo proteger la capa de la aplicación con el modelo de Angular App Shell.

Tengo un proyecto grande que utiliza el Modelo de Shell de Aplicación de Angular. También estoy utilizando Angular MSAL.js (v2) (aunque esta pregunta puede no estar relacionada específicamente con MSAL).

Mis rutas de proyecto de la aplicación están protegidas mediante el uso de MsalGuard en mi caso. Sin embargo, quiero invocar las verificaciones del guardia antes de construir el shell de la aplicación, en lugar de los proyectos que se inyectan en el shell de la aplicación. Básicamente, quiero que mi guardia se verifique antes de cargar cualquier cosa, incluido el shell de la aplicación.

Dado que toda mi enrutamiento está configurado dentro de cada proyecto, el guardia solo se activa después de construir el shell de la aplicación, lo cual inicia muchas más partes de la aplicación antes de que pueda redirigir a la página de inicio de sesión (si se activa el guardia).

Lo que he intentado hacer es configurar un guardia de ruta genérico en el shell de la aplicación en un intento de activar el guardia antes de cargar el shell.

app-shell-routing.module.ts

// imports...
const routes: Routes = [{ path: '', component: AppShellComponent, canLoad: [MsalGuard] }];

@NgModule({
  imports: [RouterModule.forRoot(routes)],
  exports: [RouterModule],
})
export class AppShellRoutingModule {}

app-shell.module.ts

// imports y otras configuraciones...
...
imports: [
  ...
  AppShellRoutingModule
]
...

Sin embargo, esto no protege el shell de la aplicación para que no se construya y aún así se construye antes de la redirección de autenticación (desde el guardia que devuelve false). El resultado es el mismo con canLoad y canActivate.

¿Es posible proteger el shell de la aplicación para que una condición deba ser verdadera antes de cargar todo el shell en lugar de solo proteger los proyectos cargados en el shell?

El tiempo total de carga puede ser exactamente el mismo (una carga antes y después del guardia de ruta, y la otra carga después de esto), pero siento que esto sería una mejor experiencia de usuario para ir directamente a la autenticación si el guardia devuelve false.