MD5 и SHA-1 реально уже отжили своё — коллизии давно не просто теоретика, а реальность. Для паролей лучше идти сразу на что-то типа bcrypt или Argon2 с корректной солью и раундами, чтобы не пришлось потом переделывать. Простой sha256 без всяких добавок — это чисто формальность, серьезно на безопасность не тянет. В общем, стоит не лениться и обновлять подходы, иначе легко нарваться на проблемы.