И на такой хитрый зад найдется кое-что
если у взломщика будет стоять задача узнать пасс человека, и будет вебшелл на серваке - сможет протроянить сорс и логировать этот мега-пасс. Это, чтобы не юзали один чудо-пасс на всё на свете.

По поводу md5(pass.salt.const) - разумная идея. Разве что мд5 поменять на что-либо менее быстрое. или вместо пасса сделать sha1(pass) по желанию.