XSS攻击 使用输入过滤和输出转码再配合httponly就一定安全吗？

Question

前天腾讯面试时，被问到一个问题： XSS攻击使用输入过滤和输出转码再配合httponly就一定安全吗？（最好能贴代码举栗子说明下，谢谢）