Самая частая грабля — использовать MD5 или SHA1 для паролей и думать, что всё ок. Без соли вообще беда, даже простой пароль легко выцепить из базы. А ещё вижу, что многие пишут свои "хорошие" хешеры — это почти всегда провал. Лучше взять готовую проверенную библиотеку и забыть про головную боль.