iframe всегда представляет угрозу безопасности, если вы не контролируете его содержимое. Просто невозможно разместить на своей странице iframe, не «обходя» какой-либо процесс очистки и не доверяя ресурсу.
Может быть, вы сможете реализовать свой собственный sanitizer и метод sanitize для своих пользовательских потребностейесли содержание URL-адреса является чем-то, вы можете точно предположить, что это такое. Это было бы более безопасно, чем просто доверять ему, и инструмент анализа тоже с этим справился бы.