Ну да, с хешами та же байда, что и с паролями — мелочь не так, и всё ломается. Помню, как пытался MD5 на все случаи жизни затолкать, а потом удивлялся, почему у меня всё легко ломается. Теперь стараюсь просто SHA-256 и проверять, чтоб кодировка совпадала, а пробелы и лишние символы вычищать тщательнее. Солить — это вообще отдельная боль, но без этого никак. С опытом приходит понимание, что тут не поспешишь, иначе грабли обеспечены.