setLogin($user, $psw) braucht dann auch noch den Parameter, dann wäre wohl alles abgedeckt.
Was ich dann aber noch problematisch finde: rex_login ist ja nicht nur fürs Backend gedacht, sondern auch für andere Logins (Community, Prozer etc.), die vielleicht so ein PreHashing gar nicht verwenden wollen. Daher würde ich vorschlagen, dann entweder die drei Methoden in rex_backend_login zu überschreiben, und nur dort den zusätzlichen Parameter anzubieten, oder den Parameter umzudrehen in $shouldHash oder so, mit Standardwert `false`. Weil $isPreHashed lässt sich nicht sinnvoll belegen, wenn man eigentlich gar kein $preHashing verwendet.