¿Es una mala práctica aceptar un número de teléfono o correo electrónico como nombre de usuario?

No en el lado de la seguridad, pero es menos probable que las personas estén dispuestas a proporcionar su número de teléfono o simplemente ingresarán uno falso. Por lo tanto, le sugiero que utilice el número de teléfono solo si su aplicación realmente necesita esa información.

No me importaría que las personas reutilicen sus contraseñas, no es tu problema. Esto solo debilita su seguridad si el servicio de correo electrónico se ve comprometido y la contraseña se filtra. En casi todos los casos, los usuarios utilizarán gigantes como gmail, que utilizan varias medidas de seguridad adicionales para evitar que los piratas informáticos obtengan acceso a la contraseña de la cuenta. Un simple y fuerte algoritmo de hash sería suficiente por su parte.

Es lo mismo de tu lado. Si te preocupas por tus usuarios, almacenas sus contraseñas con hash, como probablemente ya lo hagas. Si se convierte en víctima de una violación, y de alguna manera el atacante conoce las contraseñas sin procesar de sus usuarios, es absolutamente su responsabilidad y estupidez si el atacante ingresa a su cuenta de correo electrónico con las mismas credenciales. Pero que ese no sea el caso, guarde todo de manera segura :)