Tenía la misma pregunta. ¿Por qué el password_hash (o salt) todavía está configurado en la base de datos para una cuenta registrada a través de proveedores OAuth (uso el plugin Discourse OAuth2 Basic)? Mi experimento demuestra que los usuarios pueden iniciar sesión (si uno no deshabilita “habilitar inicios de sesión locales” cuando OAuth2 está habilitado y configurado) a través de su contraseña local que se establece a través de las funciones de restablecimiento de contraseña en su panel de preferencias. También pueden iniciar sesión a través de las credenciales de sus proveedores OAuth2. Ambos mecanismos están permitidos, como dijo pfaffman.
Tengo curiosidad por saber cuál es el valor inicial sin procesar de password_hash.