Ok, estou tentando entender o motivo para usar sal.

Quando um usuário se registra eu gero um sal exclusivo para ele / ela que eu armazeno no DB. Então eu hash e a senha com SHA1. E quando ele está logando eu re-hash comsha1($salt.$password).

Mas se alguém hackear meu banco de dados, ele poderá ver a senha com hash E o sal.

Isso é mais difícil de quebrar do que apenas hashing a senha sem sal? Eu não entendo ...

Desculpe se sou burra ...