Раньше тоже думал, что хеш — это просто прикрутил и забыл, а потом на практике понял, что без соли и нормального алгоритма всю защиту легко можно сломать. Ну и баг с timing attack — классика, про которую многие забывают, пока не вылезает беда. Главное, не лениться и использовать проверенные библиотеки, а не крутить свои костыли.