Поскольку мы уже строго контролируем, какие домены могут использоваться в iframe, наличие ещё одной настройки, где мы задаём строку allow для каждого iframe и разбираем странный формат содержимого allow, кажется мне излишним.
Я создал PR, который просто разрешает использовать любые значения в атрибуте allow для уже разрешённых iframe: