Ich hatte dieselbe Frage. Warum ist der password_hash (oder salt) für ein über OAuth-Anbieter registriertes Konto immer noch in der DB gespeichert (ich verwende das Discourse OAuth2 Basic Plugin)? Mein Experiment beweist, dass sich Benutzer anmelden können (wenn man “lokale Anmeldungen aktivieren” nicht deaktiviert, wenn OAuth2 aktiviert und eingerichtet ist) über ihr lokales Passwort, das sie über die Funktion “Passwort zurücksetzen” in ihrem Präferenzfeld festgelegt haben. Sie können sich auch über ihre OAuth2-Anbieter-Anmeldedaten anmelden. Beide Mechanismen sind, wie pfaffman sagte, erlaubt.
Ich bin neugierig, was der ursprüngliche Rohwert von password_hash ist.