В конфигурации указано сначала anyRequest().authenticated(), а затем requestMatchers("/public/**").permitAll(). Что получится?

Правила авторизации образуют упорядоченный список, и Spring Security применяет первое, чей матчер подошёл к запросу — специфичность роли не играет. Поэтому порядок пишут от частного к общему, а anyRequest ставят завершающим. В свежих версиях Spring Security подобная ошибка обычно ловится при старте с сообщением о недостижимом правиле, но полагаться на это не стоит. Хорошая практика — завершать цепочку именно anyRequest().authenticated() или denyAll(), реализуя принцип запрета по умолчанию: новый эндпоинт тогда закрыт, пока для него явно не описано правило.