Почитал я значит про соль и возникла такая мысль:

<?php

$datenow = date("y.m.d");
$salt = sha1($datenow);
$userpass = sha1($userpass . $salt);

$tosql = "INSERT INTO users (userpass, datenow) VALUES ('".$userpass."', '".$datenow."')";	
	$complete = mysqli_query($coming, $tosql) or die ('Ошибка: '.mysqli_error($coming));

?>

Т.е. при регистрации берется сегодняшняя дата, и превращается в хеш, его добавляем к паролю и хешируем.

Соответственно, когда проверяем введенный пароль, достаем из sql'a дату последней смены(создания) пароля, снова превращаем ее в хэш и добавляем к паролю.

P.S. - специально оставил в запросе только два поля, так как остальные пока не имеет смысла выносить на общее обозрение. (не по теме будут)
P.S.2 - пытаюсь просто донести алгоритм действия, не пинать плз)
P.S.3 - очень понравилась статья twin'a по теме "Функция хэширования паролей" на http://irbis-school.com/blog/full/13 . Но копи-паст это как то не обучаемо. Но за мат.часть спасиб)


_____________
[FAQ]Регистрации пользователей, сохранение в БД
---------------------------------------------------------------------------
Выходя из ванной, вышел из нее два раза

Имеет место быть

exotica
Ну все, я знаю, как у тебя кидается соль)))
Но я считаю, что логичнее было бы сделать не по дате, а по имени, фамилии и т.п. параметрах сделать алгаритм, который бы вытаскивал определенные буквы из этих параметров и хешировал, сам алгоритм приводить не буду, но я сам так делаю)))
Почему другие параметры? потому что дату проще узнать, чем целый алгаритм)

Каюсь соль не использую вообще, но пока работаю на локальной машине и этот вопрос только решаю)
Мне кажется можно хоть ИП туда затолкать )))) было бы надо)
Я просто разбираюсь в самом процессе, конечный алгоритм я конечно же оставлю при себе)
Про вытаскивание букв спасибо, о таком не подумал, приму на заметку)

_____________
[FAQ]Регистрации пользователей, сохранение в БД
---------------------------------------------------------------------------
Выходя из ванной, вышел из нее два раза

nugle

А не проще где ни будь в конфиге записать ключ хэша?

Интересно как "корням сайта"? Если даже получат доступ к файлом то тем более получат доступ к базе.

По причине собственной невнимательности само-собой. Оставив где-либо дыру.
Но если все таки будет получен доступ к базе, то пускай над ней подумают хоть. Не просто же так на блюдечке отдавать)) вот вам база, вот вам ключ - брутфорсите на здоровье. пусть хеши будут разные, хоть голову поломают)

_____________
[FAQ]Регистрации пользователей, сохранение в БД
---------------------------------------------------------------------------
Выходя из ванной, вышел из нее два раза

twin
чет я тупанул, сам то не по имени и фамилии делаю. Смысл в том, что генерировать соль по константам, естественно не по имени и фамилии, если они конечно же не const