OpenID Connect では、発行者は HTTPS の URL で、末尾のパスも含めて、プロバイダーのディスカバリドキュメントにある issuer と完全に一致しなければなりません。検証者はこのドキュメントから jwks_uri を取得します。マルチテナントのプロバイダー（Microsoft Entra ID など）は発行者にテナントを含めるため、発行者を確認せずに「このプロバイダーの発行者ならどれでもよい」として受け入れると、他のテナントのトークンも通ってしまいます。
原則は、鍵を発行者に結び付けることです。発行者 A の JWKS にある鍵で、発行者 B を名乗るトークンを有効と判定してはいけません（RFC 8725 §3.8）。OAuth のミックスアップ攻撃は、どの認可サーバーが応答したのかをクライアントが取り違えるというものですが、認可レスポンスの iss パラメーター（RFC 9207）で防げます。