No OpenID Connect, o emissor é uma URL HTTPS que deve corresponder exatamente ao issuer do documento de descoberta do provedor, incluindo qualquer caminho no final; o verificador obtém jwks_uri desse documento. Provedores multilocatários (por exemplo, o Microsoft Entra ID) incluem o locatário no emissor, então aceitar “qualquer emissor deste provedor” sem conferir o locatário deixa entrar tokens de outros locatários.
A regra é vincular as chaves aos emissores: uma chave do JWKS do emissor A não deve validar um token que declara o emissor B (RFC 8725 §3.8). O ataque de mix-up no OAuth, em que o cliente se confunde sobre qual servidor de autorização respondeu, é neutralizado pelo parâmetro iss da resposta de autorização (RFC 9207).