在 OpenID Connect 中，颁发者是一个 HTTPS URL，必须与提供方发现文档中的 issuer 完全一致，包括末尾的任何路径；验证者从该文档中获取 jwks_uri。多租户提供方（例如 Microsoft Entra ID）会把租户放进颁发者中，因此如果接受“该提供方的任何颁发者”而不检查颁发者，就会让其他租户的令牌通过。
规则是把密钥与颁发者绑定：颁发者 A 的 JWKS 中的密钥不得使声称颁发者为 B 的令牌通过验证（RFC 8725 §3.8）。OAuth 中的混淆攻击（mix-up attack）是指客户端搞混了是哪个授权服务器作出的响应，可以用 iss 授权响应参数（RFC 9207）来防范。