Как запретить проецируемому контенту через `ng-content` использовать provider компонента?

Если зависимость нужна только самому компоненту и его view, объявите её в viewProviders, а не в providers.

Проецируемое содержимое через ng-content не получает именно этот view-provider. При этом оно всё ещё может найти тот же токен выше по дереву или в собственной области DI. Это управление видимостью зависимости, а не граница безопасности между недоверенными компонентами.

Источник: angular.dev.