MD5 и SHA-1 давно уже не вытягивают, особенно на защите паролей — коллизии стали слишком реальны. Сейчас без соли и нескольких прогонов вообще смысла нет никакого. Лучше сразу брать что-то вроде bcrypt или Argon2, они специально для этого сделаны и защищают от перебора. Про sha256 без всяких добавок забудьте — это просто формальность, а не защита.