むしろサーバ環境からアルゴリズムが推測されうるpassword_hash()よりも
sha1($password).sha1('foo'.$password.'bar') とか適当にやっとくほうが良いのでは