如果这个 API 只是给某个特定的合作方来使用，那就约定 secret key 用 Https + 签名 + IP 白名单，没必要用 oauth 协议，
另外做好调用频率限制，看业务确定是否允许重载
Ps: 有老牌的短信服务商，对外提供服务就喜欢使用 IP 白名单

如果是自已玩玩的，可以自建。如果是对外提供服务，且有预期的，还是使用云服务。能省不少事。