J’avais la même question. Pourquoi le password_hash (ou le sel) est-il toujours défini dans la base de données pour un compte enregistré via des fournisseurs OAuth (j’utilise le plugin Discourse OAuth2 Basic). Mon expérience prouve que les utilisateurs peuvent se connecter (si l’on ne désactive pas « activer les connexions locales » lorsque OAuth2 est activé et configuré) via leur mot de passe local défini via les fonctions de réinitialisation de mot de passe dans leur panneau de préférences. Ils peuvent également se connecter via leurs identifiants de fournisseur OAuth2. Les deux mécanismes sont autorisés comme l’a dit pfaffman.
Je suis curieux de savoir quelle est la valeur brute initiale du password_hash ?