Мнения о двойной аутентификации с использованием соли для учетных записей пользователей с низкой чувствительностью?

В настоящее время я работаю над веб-проектом, требующим учетных записей пользователей. Приложение CodeIgniter находится на стороне сервера, поэтому я использую Ion Auth в качестве библиотеки аутентификации.

Я уже писал систему аутентификации раньше, где я использовал 2 соли для защиты паролей. Одним из них была общесерверная соль, которая находилась в качестве переменной среды в файле .htaccess, а другим была случайно сгенерированная соль, которая была создана при регистрации пользователя.

Это было метод, который я использовал в этой системе аутентификации для хеширования пароля:

    $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
    //create a random string to be used as the random salt for the password hash
    $size = strlen($chars);
    for($i = 0; $i < 22; $i++) {
        $str .= $chars[rand(0, $size - 1)];
    }

    //create the random salt to be used for the crypt
    $r_blowfish_salt = "$2a$12$" . $str . "$";

    //grab the website salt
    $salt = getenv('WEBSITE_SALT');

    //combine the website salt, and the password
    $password_to_hash = $pwd . $salt;

    //crypt the password string using blowfish
    $password = crypt($password_to_hash, $r_blowfish_salt);

Я понятия не имею, есть ли в этом дыры или нет, но, несмотря на это, я перешел на Ion Auth для более полного набора функций для использования с CI.

Я заметил, что Ion использует только одну соль как часть своего механизма хеширования (хотя и рекомендует установить encryption_key для защиты сеанса базы данных.)

Информация, которая будет храниться в моей базе данных, это такие вещи, как имя, адрес электронной почты, местоположение по стране, некоторые заметки (которые рекомендуется не содержать конфиденциальной информации) и ссылка на учетную запись Facebook, Twitter или Flickr. Исходя из этого, я не уверен, что мне необходимо иметь SSL-соединение на защищенных страницах моего сайта.

Мой вопрос в том, есть ли особая причина, по которой только 1 соль используется как часть библиотеки аутентификации ионов? Подразумевается ли, что я пишу свою собственную дополнительную посолку перед функциональностью это обеспечивает, или я что-то упускаю?

Кроме того, стоит ли вообще использовать 2 соли, или как только злоумышленник получит случайную соль и хэшированный пароль, все ставки все равно будут отменены? (Я предполагаю, что нет, но стоит проверить, беспокоюсь ли я ни о чем...)