я верюhash('sha256', $pw) совместим с FIPS, но я точно знаю, что вектор атаки возможен при использовании этой функции. Кроме того, нет соли (так что я бы столкнулся с этой реализацией, и я бы не хотел). Являетсяpassword_hash/password_verify Соответствует FIPS?