Should reset ctoken after `invalid csrf token` happen

Other web application will set ctoken to `httpOnly` invalid.
We need to auto fix that invalid ctoken in the browser.

---

invalid csrf token 的问题我今天帮助一个用户远程的时候找到根本原因了。有一些系统错误地将 ctoken 设置为 httpOnly 了。