Честно говоря, всё звучит логично, но иногда кажется, что перебор с алгоритмами и солью – излишняя сложность для большинства проектов. Кто реально будет проверять каждую мелочь и мигрировать пароли на лету? Да, bcrypt или Argon2 крутые, но не всегда это оправдано с точки зрения ресурсов и времени. Иногда достаточно просто не использовать md5 и добавить соль – и этого хватит. Не всё так идеально, как пишут.