В контроллере стоит @Valid @RequestBody CreateUserRequest, и клиент прислал невалидное тело. Что произойдёт по умолчанию?

Исключение обрабатывается встроенным механизмом и превращается в 400. Важное исключение из правила: если сразу после валидируемого аргумента объявить BindingResult, Spring не станет бросать исключение, а передаст ошибки в этот объект — и тогда проверять их обязан сам метод. Про 422 стоит сказать отдельно: строго по семантике он подходит для синтаксически корректного, но семантически неверного тела, однако умолчание Spring — именно 400, и менять его есть смысл только при сознательном решении по контракту API. Для единообразного формата ошибок используют @RestControllerAdvice и, начиная со Spring 6, ProblemDetail по RFC 7807.