هذا السطر
CODE
$text = str_replace('sandbox="allow-popups allow-same-origin" src="https://www.youtube.com', 'src="https://www.youtube.com', $text);
لا يزيل sandbox إلا بشرط أن يكون الرابطhttps://www.youtube.com ما احتمال وجود دومين آخر اسمه youtube.com صفر
أي iframe آخر سيكون آمن.