dispatch (public): Don't attempt to get user details if we are on the
      public site, as that generates a cookie. While we're at it, don't
      entirely ignore the selected application in public mode - return
      a 403 if it isn't the public app instead.