@fiado/api-invoker 4.57.0 → 4.59.0

package/src/platformRbac/api/interfaces/IPlatformRbacBusinessApi.ts

@@ -1,98 +1,98 @@
-import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
-import {
-    DefineNextChallengeRequest,
-    DefineNextChallengeResponse,
-    PrepareChallengeRequest,
-    PrepareChallengeResponse,
-    VerifyChallengeRequest,
-    VerifyChallengeResponse,
-    AuthorizeRequest,
-    AuthorizeResponse,
-    EffectivePermissionsResponse,
-    InjectableUserAttributesResponse,
-} from "@fiado/type-kit/bin/platformRbac/index.js";
-
-/**
- * Contrato del publisher HTTP del lambda `platform-rbac-business` (componente 06 SureKeep Fase 0)
- * para los 3 endpoints internos del Custom Auth Challenge flow (MFA).
- *
- * Consumidores: `cognito-backoffice-connector` desde los Lambda Triggers
- * `defineAuthChallenge`, `createAuthChallenge` y `verifyAuthChallengeResponse`
- * configurados en cada User Pool aprovisionado por la saga `TenantOnboardingManager`.
- *
- * Patrón de retorno: `Promise<ApiGatewayResponse<T>>` sin unwrap (v4 canonical Fiado).
- * El consumer accede `result.body.data` para llegar al payload tipado.
- *
- * Env var requerida en el consumer: `PLATFORM_RBAC_BUSINESS_URL`.
- * El template.yml del consumer la setea con:
- *
- *   PLATFORM_RBAC_BUSINESS_URL: '{{resolve:ssm:platform-rbac-business}}'
- *
- * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
- */
-export interface IPlatformRbacBusinessApi {
-    /**
-     * POST /internal/auth/define-next-challenge — decide el próximo challenge MFA
-     * según los resultados acumulados en `session`. Invocado por el trigger
-     * `defineAuthChallenge` en cada paso del Custom Auth Challenge flow.
-     */
-    defineNextChallenge(
-        input: DefineNextChallengeRequest,
-    ): Promise<ApiGatewayResponse<DefineNextChallengeResponse>>;
-
-    /**
-     * POST /internal/auth/prepare-challenge — prepara el challenge (genera y envía
-     * código OTP por email/SMS, o computa el `privateChallenge` para TOTP).
-     * Invocado por el trigger `createAuthChallenge`.
-     */
-    prepareChallenge(
-        input: PrepareChallengeRequest,
-    ): Promise<ApiGatewayResponse<PrepareChallengeResponse>>;
-
-    /**
-     * POST /internal/auth/verify-challenge — verifica la respuesta del usuario
-     * contra el `privateChallenge`. Invocado por el trigger
-     * `verifyAuthChallengeResponse`.
-     */
-    verifyChallenge(
-        input: VerifyChallengeRequest,
-    ): Promise<ApiGatewayResponse<VerifyChallengeResponse>>;
-
-    /**
-     * POST /internal/authorize — decide allow/deny de un permiso (PDP del modelo
-     * PEP/PDP de RBAC enforcement). Invocado por el decorador `@RequirePermission`
-     * del `@fiado/gateway-adapter` vía la impl `IAuthorizer` de cada lambda consumidor.
-     * El rbac descubre el pool por `iss`, valida el token (vía connector introspect),
-     * resuelve permisos efectivos y devuelve `{ allow, reason?, context? }`.
-     */
-    authorize(
-        input: AuthorizeRequest,
-    ): Promise<ApiGatewayResponse<AuthorizeResponse>>;
-
-    /**
-     * GET /internal/users/{cognitoSub}/effective-permissions — resuelve los permisos
-     * efectivos (más epoch y role assignments) de un usuario. Invocado por el
-     * `jwt-inyector-trigger` al emitir el token para embeber el bitset RBAC.
-     * El `cognitoSub` va en el path param (encodeURIComponent en el publisher).
-     * `tenantId` es opcional y va como query param `?tenantId=`: los usuarios de
-     * plataforma resuelven sin él, pero los de un tenant LO NECESITAN para que el
-     * rbac identifique el silo (sin él, el resolve cae a la rama platform → 404).
-     */
-    effectivePermissions(
-        cognitoSub: string,
-        tenantId?: string,
-    ): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
-
-    /**
-     * GET /internal/users/{cognitoSub}/injectable-attributes?tenantId= — devuelve los campos
-     * personalizados del usuario marcados injectToToken (ya filtrados y con valor). Invocado por
-     * jwt-inyector-trigger para estampar el claim `customAttributes`. DEC-RBAC-022.
-     */
-    getInjectableUserAttributes(
-        cognitoSub: string,
-        tenantId: string,
-    ): Promise<ApiGatewayResponse<InjectableUserAttributesResponse>>;
-
-    /** POST /internal/permissions/resolve — resuelve permisos scope-bound (set completo, paginación interna) para el RBAC enforcement del gateway-adapter. DEC-RBAC-064. */
-    resolvePermissions(input: ResolveInput): Promise<ApiGatewayResponse<ResolvedPermissions>>;
-}
+import { ApiGatewayResponse, ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
+import {
+    DefineNextChallengeRequest,
+    DefineNextChallengeResponse,
+    PrepareChallengeRequest,
+    PrepareChallengeResponse,
+    VerifyChallengeRequest,
+    VerifyChallengeResponse,
+    AuthorizeRequest,
+    AuthorizeResponse,
+    EffectivePermissionsResponse,
+    InjectableUserAttributesResponse,
+} from "@fiado/type-kit/bin/platformRbac/index.js";
+
+/**
+ * Contrato del publisher HTTP del lambda `platform-rbac-business` (componente 06 SureKeep Fase 0)
+ * para los 3 endpoints internos del Custom Auth Challenge flow (MFA).
+ *
+ * Consumidores: `cognito-backoffice-connector` desde los Lambda Triggers
+ * `defineAuthChallenge`, `createAuthChallenge` y `verifyAuthChallengeResponse`
+ * configurados en cada User Pool aprovisionado por la saga `TenantOnboardingManager`.
+ *
+ * Patrón de retorno: `Promise<ApiGatewayResponse<T>>` sin unwrap (v4 canonical Fiado).
+ * El consumer accede `result.body.data` para llegar al payload tipado.
+ *
+ * Env var requerida en el consumer: `PLATFORM_RBAC_BUSINESS_URL`.
+ * El template.yml del consumer la setea con:
+ *
+ *   PLATFORM_RBAC_BUSINESS_URL: '{{resolve:ssm:platform-rbac-business}}'
+ *
+ * Convención CLAUDE.md global: SSM key = nombre del lambda owner de la URL.
+ */
+export interface IPlatformRbacBusinessApi {
+    /**
+     * POST /internal/auth/define-next-challenge — decide el próximo challenge MFA
+     * según los resultados acumulados en `session`. Invocado por el trigger
+     * `defineAuthChallenge` en cada paso del Custom Auth Challenge flow.
+     */
+    defineNextChallenge(
+        input: DefineNextChallengeRequest,
+    ): Promise<ApiGatewayResponse<DefineNextChallengeResponse>>;
+
+    /**
+     * POST /internal/auth/prepare-challenge — prepara el challenge (genera y envía
+     * código OTP por email/SMS, o computa el `privateChallenge` para TOTP).
+     * Invocado por el trigger `createAuthChallenge`.
+     */
+    prepareChallenge(
+        input: PrepareChallengeRequest,
+    ): Promise<ApiGatewayResponse<PrepareChallengeResponse>>;
+
+    /**
+     * POST /internal/auth/verify-challenge — verifica la respuesta del usuario
+     * contra el `privateChallenge`. Invocado por el trigger
+     * `verifyAuthChallengeResponse`.
+     */
+    verifyChallenge(
+        input: VerifyChallengeRequest,
+    ): Promise<ApiGatewayResponse<VerifyChallengeResponse>>;
+
+    /**
+     * POST /internal/authorize — decide allow/deny de un permiso (PDP del modelo
+     * PEP/PDP de RBAC enforcement). Invocado por el decorador `@RequirePermission`
+     * del `@fiado/gateway-adapter` vía la impl `IAuthorizer` de cada lambda consumidor.
+     * El rbac descubre el pool por `iss`, valida el token (vía connector introspect),
+     * resuelve permisos efectivos y devuelve `{ allow, reason?, context? }`.
+     */
+    authorize(
+        input: AuthorizeRequest,
+    ): Promise<ApiGatewayResponse<AuthorizeResponse>>;
+
+    /**
+     * GET /internal/users/{cognitoSub}/effective-permissions — resuelve los permisos
+     * efectivos (más epoch y role assignments) de un usuario. Invocado por el
+     * `jwt-inyector-trigger` al emitir el token para embeber el bitset RBAC.
+     * El `cognitoSub` va en el path param (encodeURIComponent en el publisher).
+     * `tenantId` es opcional y va como query param `?tenantId=`: los usuarios de
+     * plataforma resuelven sin él, pero los de un tenant LO NECESITAN para que el
+     * rbac identifique el silo (sin él, el resolve cae a la rama platform → 404).
+     */
+    effectivePermissions(
+        cognitoSub: string,
+        tenantId?: string,
+    ): Promise<ApiGatewayResponse<EffectivePermissionsResponse>>;
+
+    /**
+     * GET /internal/users/{cognitoSub}/injectable-attributes?tenantId= — devuelve los campos
+     * personalizados del usuario marcados injectToToken (ya filtrados y con valor). Invocado por
+     * jwt-inyector-trigger para estampar el claim `customAttributes`. DEC-RBAC-022.
+     */
+    getInjectableUserAttributes(
+        cognitoSub: string,
+        tenantId: string,
+    ): Promise<ApiGatewayResponse<InjectableUserAttributesResponse>>;
+
+    /** POST /internal/permissions/resolve — resuelve permisos scope-bound (set completo, paginación interna) para el RBAC enforcement del gateway-adapter. DEC-RBAC-064. */
+    resolvePermissions(input: ResolveInput): Promise<ApiGatewayResponse<ResolvedPermissions>>;
+}

package/src/platformRbac/index.ts

@@ -1,4 +1,4 @@
-export * from "./api/interfaces/IPlatformRbacBusinessApi.js";
-export { default as PlatformRbacBusinessApi } from "./api/PlatformRbacBusinessApi.js";
-export { ApiInvokerPermissionResolver } from "./resolver/ApiInvokerPermissionResolver.js";
-export { apiInvokerResolverBindings } from "./resolver/apiInvokerResolverBindings.js";
+export * from "./api/interfaces/IPlatformRbacBusinessApi.js";
+export { default as PlatformRbacBusinessApi } from "./api/PlatformRbacBusinessApi.js";
+export { ApiInvokerPermissionResolver } from "./resolver/ApiInvokerPermissionResolver.js";
+export { apiInvokerResolverBindings } from "./resolver/apiInvokerResolverBindings.js";

package/src/platformRbac/resolver/ApiInvokerPermissionResolver.ts

@@ -1,59 +1,59 @@
-import { injectable, inject } from "inversify";
-import type { ResolveInput, ResolvedPermissions } from "@fiado/gateway-adapter";
-import { TtlCache } from "@fiado/gateway-adapter";
-import type { IPlatformRbacBusinessApi } from "../api/interfaces/IPlatformRbacBusinessApi.js";
-
-/**
- * DEC-RBAC-064/066: resuelve permisos invocando el endpoint privado de rbac-business vía el publisher
- * tipado (HTTP sobre VpcEndpoint), reemplazando la lectura directa de DDB. Cachea la rama fallback;
- * la rama token-trust NO se cachea (paridad con DdbPermissionResolver, evita poisoning).
- * Cache key = `${issuer}#${cognitoSub}` (decisión consciente: el cliente no conoce el tenantId antes
- * de invocar; issuer<->tenantId mapean 1:1 vía el pool).
- *
- * NOTA (TD-AI-002): `@fiado/gateway-adapter` NO re-exporta el tipo `IPermissionResolver` desde su
- * barrel (`bin/index.d.ts` solo expone ResolveInput/ResolvedPermissions/ScopedAssignment/PERMISSION_RESOLVER)
- * y su `exports` map bloquea el deep-import del sub-path bajo nodenext. Por eso esta clase implementa
- * el contrato ESTRUCTURALMENTE (`resolve(input): Promise<ResolvedPermissions>`) sin la cláusula
- * `implements IPermissionResolver`. TypeScript es structural-typed: la instancia es asignable al
- * símbolo PERMISSION_RESOLVER en el binding. Ver docs/TECH_DEBT.md.
- */
-@injectable()
-export class ApiInvokerPermissionResolver {
-    private readonly _cache: TtlCache<ResolvedPermissions>;
-    constructor(
-        @inject("IPlatformRbacBusinessApi") private readonly _api: IPlatformRbacBusinessApi,
-        opts: { ttlMs: number; maxEntries: number } = {
-            ttlMs: Number(process.env.RBAC_AUTHZ_CACHE_TTL_MS) || 60000,
-            maxEntries: 500,
-        },
-    ) {
-        this._cache = new TtlCache<ResolvedPermissions>(opts);
-    }
-    async resolve(input: ResolveInput): Promise<ResolvedPermissions> {
-        const cacheable = input.roleAssignmentsFromToken === undefined;
-        const key = `${input.issuer ?? ""}#${input.cognitoSub}`;
-        if (cacheable) {
-            const hit = this._cache.get(key);
-            if (hit) return hit;
-        }
-        // DEC-RBAC-071: fail-closed por propagación. Si el invoke (HTTP/VpcEndpoint) falla, se propaga:
-        // en el adapter, enforceRbac mapea solo PermissionDeniedError a 403; este error se re-lanza -> 5xx.
-        // Es fail-closed (no concede), NO un 403, y es deliberado: un fallo de red NO debe verse como
-        // "usuario sin permisos". NUNCA devolver { assignments: [] } en un catch.
-        //
-        // SHAPE (TD-AI-003): @fiado/http-client (.post) devuelve `response.data` = el BODY HTTP crudo del
-        // ApiResponse de rbac, o sea `{ code, data, msg }` — NO un ApiGatewayResponse `{ statusCode, body }`
-        // (el tipo de retorno del publisher es histórico y no refleja el runtime). El ResolvedPermissions
-        // viene en `.data`. Leer `.body` daba undefined → crash en enforceRbac. Ver docs/TECH_DEBT.md.
-        const resp = (await this._api.resolvePermissions(input)) as unknown as { data?: ResolvedPermissions };
-        const resolved = resp?.data;
-        // Fail-closed (DEC-RBAC-071): si rbac no devolvió un payload válido (403 de PRIVATE/VPC, ruta
-        // inexistente, shape inesperado), NO devolver undefined (rompería enforceRbac con TypeError) →
-        // propagar para que el adapter deny. tenantId siempre es string en un ResolvedPermissions ('' = deny).
-        if (!resolved || typeof resolved.tenantId !== "string") {
-            throw new Error("ApiInvokerPermissionResolver: respuesta de rbac sin ResolvedPermissions válido (resolvePermissions)");
-        }
-        if (cacheable) this._cache.set(key, resolved);
-        return resolved;
-    }
-}
+import { injectable, inject } from "inversify";
+import type { ResolveInput, ResolvedPermissions } from "@fiado/gateway-adapter";
+import { TtlCache } from "@fiado/gateway-adapter";
+import type { IPlatformRbacBusinessApi } from "../api/interfaces/IPlatformRbacBusinessApi.js";
+
+/**
+ * DEC-RBAC-064/066: resuelve permisos invocando el endpoint privado de rbac-business vía el publisher
+ * tipado (HTTP sobre VpcEndpoint), reemplazando la lectura directa de DDB. Cachea la rama fallback;
+ * la rama token-trust NO se cachea (paridad con DdbPermissionResolver, evita poisoning).
+ * Cache key = `${issuer}#${cognitoSub}` (decisión consciente: el cliente no conoce el tenantId antes
+ * de invocar; issuer<->tenantId mapean 1:1 vía el pool).
+ *
+ * NOTA (TD-AI-002): `@fiado/gateway-adapter` NO re-exporta el tipo `IPermissionResolver` desde su
+ * barrel (`bin/index.d.ts` solo expone ResolveInput/ResolvedPermissions/ScopedAssignment/PERMISSION_RESOLVER)
+ * y su `exports` map bloquea el deep-import del sub-path bajo nodenext. Por eso esta clase implementa
+ * el contrato ESTRUCTURALMENTE (`resolve(input): Promise<ResolvedPermissions>`) sin la cláusula
+ * `implements IPermissionResolver`. TypeScript es structural-typed: la instancia es asignable al
+ * símbolo PERMISSION_RESOLVER en el binding. Ver docs/TECH_DEBT.md.
+ */
+@injectable()
+export class ApiInvokerPermissionResolver {
+    private readonly _cache: TtlCache<ResolvedPermissions>;
+    constructor(
+        @inject("IPlatformRbacBusinessApi") private readonly _api: IPlatformRbacBusinessApi,
+        opts: { ttlMs: number; maxEntries: number } = {
+            ttlMs: Number(process.env.RBAC_AUTHZ_CACHE_TTL_MS) || 60000,
+            maxEntries: 500,
+        },
+    ) {
+        this._cache = new TtlCache<ResolvedPermissions>(opts);
+    }
+    async resolve(input: ResolveInput): Promise<ResolvedPermissions> {
+        const cacheable = input.roleAssignmentsFromToken === undefined;
+        const key = `${input.issuer ?? ""}#${input.cognitoSub}`;
+        if (cacheable) {
+            const hit = this._cache.get(key);
+            if (hit) return hit;
+        }
+        // DEC-RBAC-071: fail-closed por propagación. Si el invoke (HTTP/VpcEndpoint) falla, se propaga:
+        // en el adapter, enforceRbac mapea solo PermissionDeniedError a 403; este error se re-lanza -> 5xx.
+        // Es fail-closed (no concede), NO un 403, y es deliberado: un fallo de red NO debe verse como
+        // "usuario sin permisos". NUNCA devolver { assignments: [] } en un catch.
+        //
+        // SHAPE (TD-AI-003): @fiado/http-client (.post) devuelve `response.data` = el BODY HTTP crudo del
+        // ApiResponse de rbac, o sea `{ code, data, msg }` — NO un ApiGatewayResponse `{ statusCode, body }`
+        // (el tipo de retorno del publisher es histórico y no refleja el runtime). El ResolvedPermissions
+        // viene en `.data`. Leer `.body` daba undefined → crash en enforceRbac. Ver docs/TECH_DEBT.md.
+        const resp = (await this._api.resolvePermissions(input)) as unknown as { data?: ResolvedPermissions };
+        const resolved = resp?.data;
+        // Fail-closed (DEC-RBAC-071): si rbac no devolvió un payload válido (403 de PRIVATE/VPC, ruta
+        // inexistente, shape inesperado), NO devolver undefined (rompería enforceRbac con TypeError) →
+        // propagar para que el adapter deny. tenantId siempre es string en un ResolvedPermissions ('' = deny).
+        if (!resolved || typeof resolved.tenantId !== "string") {
+            throw new Error("ApiInvokerPermissionResolver: respuesta de rbac sin ResolvedPermissions válido (resolvePermissions)");
+        }
+        if (cacheable) this._cache.set(key, resolved);
+        return resolved;
+    }
+}

package/src/platformRbac/resolver/apiInvokerResolverBindings.ts

@@ -1,23 +1,23 @@
-import { ContainerModule } from "inversify";
-import { PERMISSION_RESOLVER } from "@fiado/gateway-adapter";
-import type { ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
-import type { IPlatformRbacBusinessApi } from "../api/interfaces/IPlatformRbacBusinessApi.js";
-import { ApiInvokerPermissionResolver } from "./ApiInvokerPermissionResolver.js";
-
-/** Contrato estructural de `IPermissionResolver` del gateway-adapter.
- *  El barrel del adapter no re-exporta el tipo `IPermissionResolver` (ver TD-AI-002 en
- *  ApiInvokerPermissionResolver.ts), así que se replica el shape mínimo para tipar el binding. */
-type IPermissionResolver = {
-    resolve(input: ResolveInput): Promise<ResolvedPermissions>;
-};
-
-/** DEC-RBAC-066: bindea ApiInvokerPermissionResolver al símbolo PERMISSION_RESOLVER de gateway-adapter.
- *  El lambda consumidor carga este módulo DESPUÉS de gatewayAdapterBindings y de bindear "IPlatformRbacBusinessApi". */
-export const apiInvokerResolverBindings = new ContainerModule(({ bind }) => {
-    bind<IPermissionResolver>(PERMISSION_RESOLVER)
-        .toDynamicValue((ctx) => {
-            const api = ctx.get<IPlatformRbacBusinessApi>("IPlatformRbacBusinessApi");
-            return new ApiInvokerPermissionResolver(api);
-        })
-        .inSingletonScope();
-});
+import { ContainerModule } from "inversify";
+import { PERMISSION_RESOLVER } from "@fiado/gateway-adapter";
+import type { ResolvedPermissions, ResolveInput } from "@fiado/gateway-adapter";
+import type { IPlatformRbacBusinessApi } from "../api/interfaces/IPlatformRbacBusinessApi.js";
+import { ApiInvokerPermissionResolver } from "./ApiInvokerPermissionResolver.js";
+
+/** Contrato estructural de `IPermissionResolver` del gateway-adapter.
+ *  El barrel del adapter no re-exporta el tipo `IPermissionResolver` (ver TD-AI-002 en
+ *  ApiInvokerPermissionResolver.ts), así que se replica el shape mínimo para tipar el binding. */
+type IPermissionResolver = {
+    resolve(input: ResolveInput): Promise<ResolvedPermissions>;
+};
+
+/** DEC-RBAC-066: bindea ApiInvokerPermissionResolver al símbolo PERMISSION_RESOLVER de gateway-adapter.
+ *  El lambda consumidor carga este módulo DESPUÉS de gatewayAdapterBindings y de bindear "IPlatformRbacBusinessApi". */
+export const apiInvokerResolverBindings = new ContainerModule(({ bind }) => {
+    bind<IPermissionResolver>(PERMISSION_RESOLVER)
+        .toDynamicValue((ctx) => {
+            const api = ctx.get<IPlatformRbacBusinessApi>("IPlatformRbacBusinessApi");
+            return new ApiInvokerPermissionResolver(api);
+        })
+        .inSingletonScope();
+});

package/src/pomelo/api/PomeloApi.ts

@@ -1,109 +1,109 @@
-import { IPomeloApi } from "./interfaces/IPomeloApi.js";
-import { inject, injectable } from "inversify";
-import { IHttpRequest } from "@fiado/http-client";
-import { CreateBankAccountRequest, CreateBankAccountUserRequest, UpdateBankAccountUserRequest } from "@fiado/type-kit/bin/account/index.js";
-import { ActivateBankAccountCardRequest, AssignCardRequest, CreateBankAccountCardShippingRequest, GetBankAccountShippingRequest, UpdateBankAccountCardRequest } from "@fiado/type-kit/bin/card/index.js";
-
-
-@injectable()
-export default class PomeloApi implements IPomeloApi {
-
-    private readonly baseUrl = process.env.POMELO_LAMBDA_URL || "";
-
-    constructor(@inject("IHttpRequest") private httpRequest: IHttpRequest) {
-    }
-
-    //USER
-    async createUser(request: CreateBankAccountUserRequest): Promise<any> {
-        const url: string = `${this.baseUrl}users/create`;
-        return await this.httpRequest.post(url, request);
-    }
-
-    public async getUserById(externalUserId: string): Promise<any> {
-        const url: string = `${this.baseUrl}users/${externalUserId}`;
-        return await this.httpRequest.get(url);
-    }
-
-    public async updateUser(object: UpdateBankAccountUserRequest): Promise<any> {
-        const url: string = `${this.baseUrl}/users/${object.id}`;
-        return await this.httpRequest.put(url, object);
-    }
-
-    // //Card
-    public async getCardSensitiveInformation(externalCardId: string, externalUserId?: string): Promise<any> {
-        const url: string = `${this.baseUrl}cards/${externalCardId}/sensitive?externalUserId=${externalUserId}`;
-        return await this.httpRequest.get(url);
-    }
-
-    public async getCardByIdExternal(externalCardId: string): Promise<any> {
-        const url: string = `${this.baseUrl}cards/${externalCardId}/detail`;
-        return await this.httpRequest.get(url);
-    }
-
-    public async getCardsById(externalCardId: string): Promise<any> {
-        const url: string = `${this.baseUrl}cards?externalCardId=${externalCardId}`;
-        return await this.httpRequest.get(url);
-    }
-
-    public async getCardsByUserId(externalUserId: string): Promise<any> {
-        const url: string = `${this.baseUrl}cards?externalUserId=${externalUserId}`;
-        return await this.httpRequest.get(url);
-    }
-
-    public async createCard(object: CreateBankAccountRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/create`;
-        return await this.httpRequest.post(url, object);
-    }
-
-    public async blockCard(object: UpdateBankAccountCardRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
-        return await this.httpRequest.put(url, object);
-    }
-
-    public async changePin(object: UpdateBankAccountCardRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
-        return await this.httpRequest.put(url, object);
-    }
-
-    public async updateCard(object: UpdateBankAccountCardRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
-        return await this.httpRequest.put(url, object);
-    }
-
-    public async activateCard(object: ActivateBankAccountCardRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/activate`;
-        return await this.httpRequest.post(url, object);
-    }
-
-    public async assignCardToUser(request: AssignCardRequest): Promise<any> {
-        const url: string = `${this.baseUrl}cards/activate`;
-        return await this.httpRequest.post(url, request);
-    }
-
-    public async getUserToken(externalUserId:string): Promise<any> {
-        const url: string = `${this.baseUrl}user/token/${externalUserId}`;
-        return await this.httpRequest.get(url);
-    }
-
-
-    // //Shipping
-
-    public async createShipment(object: CreateBankAccountCardShippingRequest): Promise<any> {
-        const url: string = `${this.baseUrl}shipment/create`;
-        return await this.httpRequest.post(url, object);
-    }
-
-    public async getShipment(object: GetBankAccountShippingRequest): Promise<any> {
-        const url: string = `${this.baseUrl}shipment/${object.externalShippingId}`;
-        return await this.httpRequest.get(url);
-    }
-
-    // public async replaceCardByExternalId(object: ExternalReplaceCardRequest): Promise<any> {
-    //     const url: string = `${this.baseUrl}cards/${object.externalCardId}/replace`;
-    //     return await this.httpRequest.put(url, object);
-    // }
-
-
-
-
-}
+import { IPomeloApi } from "./interfaces/IPomeloApi.js";
+import { inject, injectable } from "inversify";
+import { IHttpRequest } from "@fiado/http-client";
+import { CreateBankAccountRequest, CreateBankAccountUserRequest, UpdateBankAccountUserRequest } from "@fiado/type-kit/bin/account/index.js";
+import { ActivateBankAccountCardRequest, AssignCardRequest, CreateBankAccountCardShippingRequest, GetBankAccountShippingRequest, UpdateBankAccountCardRequest } from "@fiado/type-kit/bin/card/index.js";
+
+
+@injectable()
+export default class PomeloApi implements IPomeloApi {
+
+    private readonly baseUrl = process.env.POMELO_LAMBDA_URL || "";
+
+    constructor(@inject("IHttpRequest") private httpRequest: IHttpRequest) {
+    }
+
+    //USER
+    async createUser(request: CreateBankAccountUserRequest): Promise<any> {
+        const url: string = `${this.baseUrl}users/create`;
+        return await this.httpRequest.post(url, request);
+    }
+
+    public async getUserById(externalUserId: string): Promise<any> {
+        const url: string = `${this.baseUrl}users/${externalUserId}`;
+        return await this.httpRequest.get(url);
+    }
+
+    public async updateUser(object: UpdateBankAccountUserRequest): Promise<any> {
+        const url: string = `${this.baseUrl}/users/${object.id}`;
+        return await this.httpRequest.put(url, object);
+    }
+
+    // //Card
+    public async getCardSensitiveInformation(externalCardId: string, externalUserId?: string): Promise<any> {
+        const url: string = `${this.baseUrl}cards/${externalCardId}/sensitive?externalUserId=${externalUserId}`;
+        return await this.httpRequest.get(url);
+    }
+
+    public async getCardByIdExternal(externalCardId: string): Promise<any> {
+        const url: string = `${this.baseUrl}cards/${externalCardId}/detail`;
+        return await this.httpRequest.get(url);
+    }
+
+    public async getCardsById(externalCardId: string): Promise<any> {
+        const url: string = `${this.baseUrl}cards?externalCardId=${externalCardId}`;
+        return await this.httpRequest.get(url);
+    }
+
+    public async getCardsByUserId(externalUserId: string): Promise<any> {
+        const url: string = `${this.baseUrl}cards?externalUserId=${externalUserId}`;
+        return await this.httpRequest.get(url);
+    }
+
+    public async createCard(object: CreateBankAccountRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/create`;
+        return await this.httpRequest.post(url, object);
+    }
+
+    public async blockCard(object: UpdateBankAccountCardRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
+        return await this.httpRequest.put(url, object);
+    }
+
+    public async changePin(object: UpdateBankAccountCardRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
+        return await this.httpRequest.put(url, object);
+    }
+
+    public async updateCard(object: UpdateBankAccountCardRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/${object.cardId}/`;
+        return await this.httpRequest.put(url, object);
+    }
+
+    public async activateCard(object: ActivateBankAccountCardRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/activate`;
+        return await this.httpRequest.post(url, object);
+    }
+
+    public async assignCardToUser(request: AssignCardRequest): Promise<any> {
+        const url: string = `${this.baseUrl}cards/activate`;
+        return await this.httpRequest.post(url, request);
+    }
+
+    public async getUserToken(externalUserId:string): Promise<any> {
+        const url: string = `${this.baseUrl}user/token/${externalUserId}`;
+        return await this.httpRequest.get(url);
+    }
+
+
+    // //Shipping
+
+    public async createShipment(object: CreateBankAccountCardShippingRequest): Promise<any> {
+        const url: string = `${this.baseUrl}shipment/create`;
+        return await this.httpRequest.post(url, object);
+    }
+
+    public async getShipment(object: GetBankAccountShippingRequest): Promise<any> {
+        const url: string = `${this.baseUrl}shipment/${object.externalShippingId}`;
+        return await this.httpRequest.get(url);
+    }
+
+    // public async replaceCardByExternalId(object: ExternalReplaceCardRequest): Promise<any> {
+    //     const url: string = `${this.baseUrl}cards/${object.externalCardId}/replace`;
+    //     return await this.httpRequest.put(url, object);
+    // }
+
+
+
+
+}