您需要添加一个自定义验证/清理回调，并将其挂接到publish_post （和/或draft_post 和/或future_post, 如适用）。例如：

<?php
function wpse_44807_update_custom_post_meta() {
    // Globalize the $post object
    global $post;
    // If our custom post meta key is set, sanitize it;
    // otherwise, return false
    $my_post_custom = ( isset( $_POST[\'_my_post_custom\'] ? wp_filter_nohtml_kses( $_POST[\'_my_post_custom\'] ? false );
    // Now, delete or update our custom post meta key
    if ( false == $my_post_custom ) {
        delete_post_meta( $post->ID, \'_my_post_custom\' );
    } else {
        update_post_meta( $post->ID, \'_my_post_custom\', $my_post_custom );
    }
}
add_action( \'publish_post\', \'wpse_44807_update_custom_post_meta\' );
add_action( \'draft_post\', \'wpse_44807_update_custom_post_meta\' );
?>

另外：我使用了一个带有下划线前缀的自定义post meta键，如果要为自定义post meta键定义自定义post meta框，那么这是合适的。（下划线前缀从通用的“自定义字段”元框下拉列表中隐藏此元键。）

update_post_meta() 将对其进行清理，以便为您插入数据库。您真正需要注意的是恶意HTML，这会影响输出。为此，您需要一个正则表达式或其他一些与已知/所需格式进行比较的方法。为了解决这个问题，我建议您只接受视频ID或类似的东西，这样您可以严格控制输出的方式，而不是允许用户向您提供iframe等。