>> 2 Для password_hash()/password_verify() здравствуй генерация новых паролей By Design!
> 1. зачем тогда статический кусок? без него это такой же хеш: динамическая
> соль + алгоритм хеша

Затем, чтобы
1 При получении доступа к БД злоумышленник не смог получить всю соль и сгенерировать хэш, даже если бы знал как его генерировать.
2 Чтобы имея под рукой аналогичный сайт и/или микрофреймвёрк этого сайта и зная как её генерировать всё равно не смог бы этого сделать без доступа по ssh.
> Ну и если кто-то со стороны ходит по базе как у себя
> дома, то уже всё плохо.

Я не говорю что это нормально, у меня вообще доступ к ней только через сокет, но я сайты не для себя делаю и админю я далеко не все, и не с одним моим сайтом проблем со взломом не было, и я не хочу нарушать эту традицию!
Если я могу сделать лучше чем это по дизайну (длина хэша для пароля меньше и всегда постоянная при той же безопасности, и более высокая защита при доступе к СУБД), то я это делаю!