基本情報技術者Webと認証の安全性オリジナル・公式資料照合難易度★★☆☆☆
コメント欄では利用者の入力を装飾せず、文字としてそのまま表示したい。ブラウザ側で入力をinnerHTMLへ入れると、HTMLタグが解釈されてスクリプトが動くおそれがある。この表示位置に適切な対策はどれか。
A
HTTPSでページを配信するだけで、HTMLへの挿入方法は変えない
通信が暗号化されても、受信したデータをブラウザで危険な方法により解釈するXSSは防げません。
B
100文字以内の入力なら実行可能なHTMLは書けないと判断し、そのままinnerHTMLへ入れる
短い文字列にもHTMLとして意味を持つものがあります。長さの制限だけでは、ブラウザによる解釈を安全にできません。
C
利用者の文字列をJavaScriptのソースへ直接連結して表示する
コードへ直接連結すると、入力がコードとして解釈される経路を増やすおそれがあります。
D
textContent等のテキストとして扱う方法を使い、HTMLとして解釈させない★ 正解
textContentのように文字列をテキストとして設定すれば、この要件ではHTMLタグとして解釈する必要がありません。
解説
表示したいものが単なるテキストなら、HTMLを解釈する場所へ未信頼の入力を渡さない方法が適します。サーバーでHTMLを作る場合も、出力する文脈に応じたエスケープが必要です。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28
同じレッスンの問題
問題 1
利用者名から会員を検索するSQLを、文字列連結で作っている。利用者名に引用符やSQL断片が含まれると、検索条件の構造が変わってしまう。値として受け取る利用者名に対する基本的な修正はどれか。
問題 3
Cookieによるログイン状態を使うWebアプリで、利用者が別サイトへ誘導され、そのサイトから送られた送金POSTが本人のCookie付きで実行された。POSTであることだけでは防げなかった。この不正な要求への基本対策として適切なのはどれか。
問題 4
パスワード保存方式を見直し、同じパスワードの利用者がいても、ハッシュの事前計算結果を利用者間でそのまま使い回しにくくしたい。適切なパスワード用ハッシュと計算コストを使うことに加え、ソルトをどう扱うのが適切か。
問題 5
攻撃者が偽ログイン画面へ入力されたパスワードとワンタイムコードを即時に正規サイトへ中継している。この中継型フィッシングへの耐性を高めるため、正規のサービスのオリジンに認証を結び付ける方式はどれか。登録・復旧経路も適切に保護されているものとする。