Ho avuto la stessa domanda. Perché il password_hash (o salt) è ancora impostato nel DB per un account registrato tramite provider OAuth (uso il plugin Discourse OAuth2 Basic). Il mio esperimento dimostra che gli utenti sono in grado di accedere (se non si disabilita “abilita accessi locali” quando OAuth2 è abilitato e configurato) tramite la loro password locale impostata tramite le funzioni di reimpostazione della password nel loro pannello delle preferenze. Possono anche accedere tramite le credenziali dei loro provider OAuth2. Entrambi i meccanismi sono consentiti come ha detto pfaffman.
Sono curioso di sapere quale sia il valore grezzo iniziale del password_hash?