ソルトはユーザーごとに異なるので、保存するならDBがやっぱり妥当なのかなと。ペッパーなら共通だからセキュアなストレージ手段があれば、そっちのほうが良いと思われ