Где лучше хранить проверочный смс код?

хмм... создавать отдельную таблицу для смсак и тем более даже не для зарегистрированного пользователя? кул

Как избавиться от постоянной проверки аутентификации?

Да, но это придется дублировать роуты для не аутентифицированных пользователях

Как Tor-браузер обрабатывает ajax запросы?

В том то и дело, что функция отрабатывает