это стандартная проблема веб + спринг секюрити. если делаешь конфигурацию с джава, то используй antMatcher для всех ресурсов, которые должны подгружаться открыто. лучше это сделать на начальном этапе - классифицировать открытые ресурсы. и сразу их добавить в конфигурацию спринг секюрити. а то потом может что-то не подгружаться на страницах. если используешь спринг + ангуляр или с другим фреймворком, не забудь добавить все сервисные файлы, иначе, не будет запускаться или еще хуже не работать часть функциональности.
@Overrideprotected void configure(HttpSecurity http) throws Exception {
...
.antMatchers("/public/**").permitAll()
...
}