避免xss是开httponly防止js修改么