Should the password be plain text when creating a user through the API?

只要您使用 TLS,密码就会以加密形式发送。如果您未使用 TLS,那么无论怎样都注定会遭遇严重问题。

如果您指的是“哈希”而非“加密”,那么答案是否定的,这不是受支持的配置。因为 Discourse 内部使用的哈希机制不属于公开接口契约的一部分,并且随时可能发生变化。

是的,确实如此。但如果有人能够访问您的笔记本电脑,他们只需安装一个键盘记录器,即可在密码经过任何哈希处理之前就将其捕获。Discourse(以及每一个 Web 应用程序)的安全威胁模型都包含一条规定:终端设备不得被攻陷。