В OpenID Connect издатель — HTTPS URL, который должен в точности совпадать с issuer в документе обнаружения поставщика, включая путь, если он есть; из этого же документа проверяющая сторона берёт jwks_uri. Мультитенантные поставщики (например, Microsoft Entra ID) указывают в издателе тенант, поэтому если принимать «любого издателя этого поставщика» и не проверять тенант, пройдут и токены других тенантов.
Правило: привязывайте ключи к издателям. По ключу из JWKS издателя A нельзя признавать действительным токен, в котором указан издатель B (RFC 8725, § 3.8). Атаку подмены сервера (mix-up) в OAuth, при которой клиент путает, какой сервер авторизации ему ответил, предотвращает параметр iss в ответе авторизации (RFC 9207).