SagePtr

Как правило, у любого стороннего модуля в npm есть исходники на github, вы можете ознакомиться с кодом и примерно понять, как это работает. Там же есть issues, где можно ознакомиться с имеющимися известными проблемами.
В целом, вероятность, что в популярном модуле, используемом тысячами и миллионами разработчиков, допустят ошибку и никто из этих людей за всё это время её не обнаружит, гораздо ниже, чем если вы в своём коде допустите ошибку.

Файлы так устроены, что в них невозможно вставить что-то в какое-то место, не перезаписав то, что в этом месте находилось.

Чтобы не перетирался весь файл при этом (а только то, что находилось в определённом месте) - открывать его в режиме r+

В nginx указать в конце адреса proxy_pass слэш:
proxy_pass http://127.0.0.1:3000/;
Отличается тем, что если в proxy_pass указать в uri путь (в данном случае - путь /) - то nginx будет выполнять преобразование путей и /api/ отражать на /, а не передавать uri запроса как есть.

Не работал с VK API, но сомневаюсь, что там синхронные функции. Скорее всего, либо await запихнуть забыли, либо коллбэк передать (в зависимости от того, на промисах ваша библиотека для работы с api или нет)

Минифицировать имеет смысл только те скрипты, которые загружаются клиентами, т.к. сэкономленные 100 килобайт при миллионе загрузках - это сэкономленные 100 гигабайт, да и не у всех интернет быстрый (пользователи медленного интернета не дождутся загрузки и уйдут). А вот скрипты сервера загружаются в память в одном экземпляре при запуске сервера, никуда по сети не передаются - экономить при этом крайне бессмысленно. Даже если сэкономите 10 мегабайт, при нынешних объёмах памяти это не объём.

Зачем? Движок V8 (или на чём там сейчас нода работает) при запуске все эти скрипты компилирует всё равно. На фронте бандл собирается по той причине, что каждый посетитель при открытии сайта загружает копию этого бандла, потому чтобы по мильёну раз по сети не гонять больший объём трафика (да и быстрее грузилось на мобилах), он ужимается до минимального объёма и передаётся уже в уменьшенном виде. В то время, как на стороне сервера - туда-сюда перегонять исходники не нужно, они считываются с диска только один раз - при запуске самой ноды. Если бы вы миллион раз на день перезапускали ноду, а скрипты ваши физически лежали на флопике, подключённом к серверу - тогда ещё может быть какой-нибудь смысл и был от уменьшения их объёма, но нет.

https://nodejs.org/api/vm.html
там жирным шрифтом написано: "The vm module is not a security mechanism. Do not use it to run untrusted code."
То есть, никакую безопасность он не даёт совершенно, только позволяет выполнить код в другом контексте.

Смотря в каком формате ваша функция возвращает хэш, если он уже и так содержит соль, то хранить её отдельно не имеет никакого смысла. Если допустим используете этот пакет для вычисления и проверки хэша, то там хэш полученный уже содержит соль.