...или слишком короткий или слишком простой. Иначе смысл в хеше околонулевой получается.

А чем двоеточие то не угодило? Да и разделитель здесь не играет никакой роли. как мне кажется.

А вот strtoupper в какой-то мере снижает уникальность, ибо, делает пароль регистронезависимым. Вероятно, более правильным было бы нормализовать регистр только для $username.

Да, разумно, если решать задачу "уникализации" хешей. Затрудняюсь сходу придумать ситуацию, когда это могло бы понадобиться. Ну, исключая, пожалуй, защиту от недобросовестных админов и утекания базы.

ИзопропилvkleЗатрудняюсь сходу придумать ситуацию, когда это могло бы понадобиться.
например, чтобы пользователь в будущем смог ввести пару юзер-пароль в urlАга, а вебсервер всё это дело аккуратненько залоггировать :)

Кстати, в паролях, что вводятся в URL вида http://user:pass@test.ru/]http://user:pass@test.ru/ допустимы и собака и двоеточие, только их енкодить надо, как и некоторые другие символы.