Согласен, что старые алгоритмы лучше сразу исключать — MD5 и SHA1 давно не вариант. Для паролей важно, чтобы соль была уникальной и хранилась отдельно, иначе толку от сложного хеша мало. Еще заметил, что иногда библиотеки по-разному обращаются с кодировками, и это реально может сломать всю защиту. Главное — не забывать про аккуратное хранение и проверку результата перед использованием.