Полностью согласен, что соль — это не просто лишние символы, а важный элемент, который может всё сломать, если её не правильно добавить или неудачно скомбинировать с паролем. Кстати, лучше начать с готовых библиотек, которые хорошо проверены, чтобы не изобретать велосипед с низкоуровневыми вещами типа md5. Тестовые примеры — самый простой способ удостовериться, что хеш считается так, как нужно.