Sha256 / соль хранения ключей пароля

Я создал регистрационную форму, обработанную следующим образом:

function register_user() {
global $conn;
$name      = sanitize($_POST['name']);
$email     = sanitize($_POST['email']);
$password = sanitize($_POST['password']);
$salt      = bin2hex(mcrypt_create_iv(32, MCRYPT_DEV_URANDOM));

$saltedPW = $password . $salt;
$hashedPW = hash('sha256', $saltedPW);

mysqli_query($conn, "INSERT INTO users (name, email, password, salt) VALUES ('$name', '$email', '$hashedPW', '$salt')");

Форма входа затем обрабатывается следующим образом:

    function login($email, $password) {
global $conn;
$user_id = user_id_from_username($email);
$query   = mysqli_query($conn, "SELECT salt FROM users WHERE email = '$email'");
$row1    = mysqli_fetch_assoc($query);
$salt    = $row1['salt'];

$saltedPW = $password . $salt;
$hashedPW = hash('sha256', $saltedPW);

$result = mysqli_query($conn, "SELECT COUNT(user_id) FROM users WHERE email = '$email' AND password = '$hashedPW'");
$row     = mysqli_fetch_row($result);

return ($row[0] == 1) ? $user_id : false;
}

Пользовательская таблица структурирована следующим образом:
Идентификатор пользователя; название; Эл. адрес; пароль; соль (дополнительные столбцы для восстановления пароля, права администратора и т. д.). Отправив подробности в отдел соответствия ИТ моей компании, кто-то с опытом работы с PHP (превосходя мой, без сомнения) заявил, что я не могу сохранить ключ для шифрования в системе — если кто-то получит файл, он сможет расшифровать пароль. Мой вопрос — это правильно? Мой процесс некорректен? Все исследования, которые я провел, показывают, что хеш SHA256 со случайной солью — один из лучших способов.