Как и где мне хранить дефолтовую "соль" так, чтобы её не так просто было стащить вместе с базой данных?Ответ прост: хранить базу пользователей отдельно от основной базы данных (на другом сервере) и взаимодействовать с ним по API и там уже хешировать как хотите, т.к. база с пользователями/паролями уже будет недоступна из-вне.