admin/users ページでユーザーを表示すると、プライマリメールとセカンダリメールのフィールドは非表示になっており、表示には権限が必要です。
しかし、同じメールがページの下の方で SSO を使用すると保護されずに表示されます。
期待される動作：SSO メールもプライマリメールおよびセカンダリメールと同様に保護されること。
実際の動作：SSO メールは保護されておらず、サイト設定でモデレーターへのメール表示が禁止されている場合でも、モデレーターに可視となっています。
追加のコメントですが、メールだけでなく、外部 ID も機密情報になり得る点に言及しておきます。