Eu tive a mesma pergunta. Por que o password_hash (ou salt) ainda está definido no banco de dados para uma conta registrada através de provedores OAuth (eu uso o plugin Discourse OAuth2 Basic)? Meu experimento prova que os usuários conseguem fazer login (se não desativar “habilitar logins locais” quando OAuth2 estiver habilitado e configurado) através de sua senha local que foi definida através de funções de redefinição de senha em seu painel de preferências. Eles também podem fazer login através de suas credenciais de provedores OAuth2. Ambos os mecanismos são permitidos, como pfaffman disse.
Estou curioso sobre qual é o valor bruto inicial do password_hash?