По-видимому, все сводится к следующему:
1. Вы получаете текстовую ссылку от третьего лица в iframe.
2. Вы хотите изменить местоположение вашей страницы на этот URL.
3. Если у вас нет контроля над этой третьей стороной, вы получите только текстовый URL.
Теперь единственный способ изменить местоположение вашей страницы автоматически - window.parent.location
(или window.location
.)
Если изменение URL страницы с помощью javascript несовместимо с PCI, то вы пытаетесь сделать что-то, что не связано с PCI.