From e04cdd536ae75aa8624493380edda70736761289 Mon Sep 17 00:00:00 2001
From: sakaguchi <sakaguchi@catchup.co.jp>
Date: Fri, 22 May 2026 13:58:45 +0900
Subject: [PATCH] =?UTF-8?q?fix=20#4364=20=E3=80=90=E3=83=97=E3=83=A9?=
 =?UTF-8?q?=E3=82=B0=E3=82=A4=E3=83=B3=E3=80=91=E3=82=AB=E3=82=B9=E3=82=BF?=
 =?UTF-8?q?=E3=83=A0=E3=82=B3=E3=83=B3=E3=83=86=E3=83=B3=E3=83=84=E3=81=AE?=
 =?UTF-8?q?AI=E7=94=A8=E3=81=AE=E4=BB=95=E6=A7=98=E6=9B=B8=E3=81=AE?=
 =?UTF-8?q?=E6=9B=B4=E6=96=B0?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 .../basercms-custom-content.instructions.md   | 20 +++++++++++++++++--
 1 file changed, 18 insertions(+), 2 deletions(-)

diff --git a/.github/instructions/basercms-custom-content.instructions.md b/.github/instructions/basercms-custom-content.instructions.md
index 8f1afb414e..fcbb578bfa 100644
--- a/.github/instructions/basercms-custom-content.instructions.md
+++ b/.github/instructions/basercms-custom-content.instructions.md
@@ -53,10 +53,26 @@ echo $this->BcBaser->getCustomFieldValue($customEntry, 'field_name');
 ```
 
 ## textarea の表示について
-内部的に nl2br() が適用されているので、改行はそのまま表示されます。
+デフォルトでは内部的に `nl2br(h())` が適用されるため、改行はそのまま表示され、HTMLタグはエスケープされます。
+
+`escape => false` を指定するとエスケープと `nl2br()` が無効になり、フィールド値をそのまま出力できます。
+span タグなどの HTML を含む場合に利用しますが、出力値の信頼性を確認した上で使用してください。
+
+```php
+echo $this->BcBaser->getCustomFieldValue($customEntry, 'field_name', ['escape' => false]);
+```
+
+`escape => false` にすると `nl2br()` も無効になるため、改行を `<br>` に変換したい場合は呼び出し側で `nl2br()` を適用してください。
+
+```php
+echo nl2br($this->BcBaser->getCustomFieldValue($customEntry, 'field_name', ['escape' => false]));
+```
 
 ## CSSの作成
 - 既存のテーマにテンプレートを追加作成する場合、CSSの作成時、Aタグの文字色は親設定を引き継いでいる可能性があるので、important を付けておく。
 
 ## その他
-- テキストエリアは h() でエスケープすると改行が<br> として表示されてしまうので使わない。
+- テキスト・テキストエリアフィールドはデフォルトで `h()` によるエスケープが有効です。
+- `escape => false` を指定すると `h()` によるエスケープを無効化できます（テキスト・テキストエリア両フィールド対応）。これにより span タグなどの HTML をそのまま出力できます。
+- テキストエリアで `escape => false` を指定した場合、`nl2br()` も同時に無効になります。
+- `escape => false` を使用する際は、出力する値が信頼済みの入力に限定されていることを確認してください（XSS に注意）。