第三方网站的记住我实现

我正在制作一个第三方网站，用户可以在其中使用他们的凭据登录，并使用它们来调用实际服务提供的 API。

我需要知道用户的凭据，而不仅仅是散列或其他东西。传统记住我的问题在于它从不存储实际凭据，因此它们对我不起作用。这样做的正确方法是什么，是否有 node.js 库？

我的想法：客户端存储加密版本的凭据，我的服务器存储一个密钥来解密。这样，我们都不知道自己的凭据，所以安全一些。