Esse cara é meu herói: link
The "--host=localhost" option says you're using TCP/IP connection (so the "host lines" of pg_hba.conf), so it's asking for md5 authentication. Hence the password.
If one user is not asked for a password, it could be that this user has a .pgpass file telling pg_dump which password to use.
Em outras palavras, a opção - host (que eu não mencionei) foi a razão pela qual minhas linhas 'locais' em pg_hba.conf eram irrelevantes para este comando.