HTMLとDOMツリーとは？えいちてぃーえむえるとどむつりー
HTMLはタグの入れ子で文書構造を表す形式で、ブラウザがそれを解析して作る木構造のオブジェクト表現がDOM。スクリプトはDOMのノードを読み書きして表示を動的に組み替える。支援士では、DOM Based XSSがなぜ成立するかの土台になる知識として要る。
最終更新：2026-10-06
この語が出る過去問を解く →背景
初期のWebは静的な文書の配信で、画面を変えるにはサーバへ取り直しに行く必要があった。操作対象としてDOMが標準化されたことで、ブラウザ内でHTMLを組み立て直せるようになり、対話的な画面が実現した。同時に、サーバの応答には攻撃文字列が現れずブラウザ内だけで発生する脆弱性が生まれ、出力の検査やアクセスログでは見つからないという問題を作った。
具体例
Google Chromeの開発者ツールで、ページのソース表示は通信で受け取ったHTMLを、ElementsパネルはいまのDOMを見せる。スクリプトが後から差し込んだノードは前者に無く後者にだけ現れるので、両者を並べると差分がそのまま分かる。
試験での引っ掛け
受信したHTMLソースとDOMは別物。閉じタグの省略や不正な入れ子はブラウザが補正し、スクリプトが後からノードを足すため、両者は一致しない。DOM Based XSSがサーバ側の出力検査をすり抜けるのはこの食い違いによる。
関連用語
出た過去問
出典：令和5年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
WAFにおけるフォールスポジティブに該当するものはどれか。
正解：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合,“<”などの数式を含んだ正当なHTTPリクエストが送信されたとき,WAFが攻撃として検知し,遮断する。
要点：フォールスポジティブは正当な通信を攻撃と誤判定して遮断すること
フォールスポジティブ(偽陽性)とは、正当な通信を攻撃と誤って判定してしまうことをいう。アは数式中の不等号を含む正常なリクエストが遮断される例なので、これが該当する。逆に攻撃を見逃すのがフォールスネガティブ(偽陰性)で、イとエがその例である。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
WAFにおけるフォールスポジティブに該当するものはどれか。
正解：HTMLの特殊文字“<”を検出したときに通信を遮断するようにWAFを設定した場合,数式を入力するWebサイトに“<”を数式の一部として含んだHTTPリクエストが送信されたとき,WAFが攻撃として検知し,遮断する。
要点：偽陽性は正当な通信を攻撃と誤判定して遮断してしまうこと
フォールスポジティブ(偽陽性)は、正当な通信を攻撃と誤判定してしまうことである。数式の一部として不等号を入力しただけの正常なリクエストが遮断されるアがこれに当たる。攻撃を見逃すイとエはフォールスネガティブ、不正を正しく遮断するウは正常な検知である。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問20（IPA）
Webページ内のHTMLフォームに入力されたデータがWebサーバに送られる際には、HTTPプロトコルのGETメソッド又はPOSTメソッドを用いたリクエストメッセ…
正解：GETメソッドが使用される場合：リクエスト行、POSTメソッドが使用される場合：メッセージボディ
要点：GETはURIのクエリ文字列、POSTはメッセージボディで送る
GETメソッドではフォームの入力値はURLのクエリ文字列として連結されるため、リクエストメッセージの先頭にあるリクエスト行（メソッド、URI、HTTPバージョン）に含まれます。一方POSTメソッドでは、入力値はヘッダーの後に続くメッセージボディに格納されて送られます。GETはURLに値が現れるためアクセスログや履歴に残りやすく、機密情報の送信には適しません。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。