HTML+JSなんかは、innerHTMLで、
innerHTML = "<control name="+str+" ></control>"
とかやるとほんとにそういうアクセスできたりするので、そっちの関係の人かもしれん。