Disable browser PKCE mint by default.

User does not want web/browser casting; HTTP-only unless
cpa_allow_browser_fallback is explicitly re-enabled.

grok_register_ttk.py

@@ -85,9 +85,9 @@ DEFAULT_CONFIG = {
     # OIDC：优先 SSO→Authorization Code + referrer=grok-build
     "cpa_prefer_sso_oauth": True,        # True=用 sso cookie 走 PKCE（必须带 referrer）
     "cpa_require_referrer": True,        # True=access_token 无 referrer=grok-build 则失败
-    "cpa_prefer_browser_mint": False,    # True=有 page 时先浏览器（慢）；默认 False=先 HTTP，失败再浏览器
-    "cpa_allow_browser_fallback": True,  # True=HTTP 铸造失败时用注册浏览器走 PKCE
-    "cpa_browser_mint_timeout_sec": 90,  # 浏览器 PKCE 最长等待（兜底路径）
+    "cpa_prefer_browser_mint": False,    # True=有 page 时先浏览器（慢）；默认关
+    "cpa_allow_browser_fallback": False, # True=HTTP 失败再用浏览器 PKCE；默认关（不要网页铸造）
+    "cpa_browser_mint_timeout_sec": 90,  # 浏览器 PKCE 最长等待（仅 fallback 开启时）
     "cpa_allow_device_fallback": False,  # True=SSO 失败时回退设备码（通常不可用）
     # OIDC 铸造代理/超时
     "mint_proxy": "",                    # 铸造专用代理；空=复用 proxy