@fiado/type-kit 3.627.0 → 3.629.0

package/bin/loanRetailAudit/dtos/requests/CreatePiiAccessLogRequest.js

@@ -12,6 +12,8 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.CreatePiiAccessLogRequest = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
+const auditInputLimits_1 = require("../../constants/auditInputLimits");
+const IsIsoDateTime_1 = require("../../validators/IsIsoDateTime");
 const PiiAccessActionEnum_1 = require("../../enums/PiiAccessActionEnum");
 const PiiResourceTypeEnum_1 = require("../../enums/PiiResourceTypeEnum");
 /** Body de `POST /private/pii-access-logs` (privateCreatePiiAccessLog); el tenant va en `?tenantId=`. */
@@ -26,7 +28,7 @@ __decorate([
 ], CreatePiiAccessLogRequest.prototype, "accessId", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsISO8601)(),
+    (0, IsIsoDateTime_1.IsIsoDateTime)(),
     __metadata("design:type", String)
 ], CreatePiiAccessLogRequest.prototype, "occurredAt", void 0);
 __decorate([
@@ -73,7 +75,10 @@ __decorate([
     (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsArray)(),
     (0, class_validator_1.ArrayNotEmpty)(),
+    (0, class_validator_1.ArrayMaxSize)(auditInputLimits_1.PII_ACCESS_FIELDS_MAX_ITEMS),
     (0, class_validator_1.IsString)({ each: true }),
+    (0, class_validator_1.IsNotEmpty)({ each: true }),
+    (0, class_validator_1.MaxLength)(auditInputLimits_1.AUDIT_FIELD_NAME_MAX_LENGTH, { each: true }),
     __metadata("design:type", Array)
 ], CreatePiiAccessLogRequest.prototype, "fields", void 0);
 __decorate([
@@ -81,5 +86,7 @@ __decorate([
     (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsArray)(),
     (0, class_validator_1.IsString)({ each: true }),
+    (0, class_validator_1.IsNotEmpty)({ each: true }),
+    (0, class_validator_1.MaxLength)(auditInputLimits_1.PII_RESOURCE_ID_MAX_LENGTH, { each: true }),
     __metadata("design:type", Array)
 ], CreatePiiAccessLogRequest.prototype, "resourceIds", void 0);

package/bin/loanRetailAudit/events/AuditTrailRecordedV1.d.ts

@@ -13,6 +13,7 @@ export declare class AuditTrailRecordedV1 {
     /** userId del actor; nunca `system`: sin usuario va el nombre del lambda que lo disparó. */
     performedBy: string;
     sourceLambda: string;
+    /** Fecha-hora ISO-8601 completa con zona, como `toISOString()`. */
     occurredAt: string;
     tenantId?: string;
     reason?: string;

package/bin/loanRetailAudit/events/AuditTrailRecordedV1.js

@@ -12,6 +12,8 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.AuditTrailRecordedV1 = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
+const auditInputLimits_1 = require("../constants/auditInputLimits");
+const IsIsoDateTime_1 = require("../validators/IsIsoDateTime");
 const auditTrailEntityTypes_1 = require("../constants/auditTrailEntityTypes");
 const AuditTrailChange_1 = require("../dtos/AuditTrailChange");
 const AuditTrailContextEntry_1 = require("../dtos/AuditTrailContextEntry");
@@ -45,6 +47,7 @@ __decorate([
 __decorate([
     (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayMaxSize)(auditInputLimits_1.AUDIT_TRAIL_CHANGES_MAX_ITEMS),
     (0, class_validator_1.ValidateNested)({ each: true }),
     (0, class_transformer_1.Type)(() => AuditTrailChange_1.AuditTrailChange),
     __metadata("design:type", Array)
@@ -52,6 +55,7 @@ __decorate([
 __decorate([
     (0, class_transformer_1.Expose)(),
     (0, class_validator_1.IsArray)(),
+    (0, class_validator_1.ArrayMaxSize)(auditInputLimits_1.AUDIT_TRAIL_CONTEXT_MAX_ITEMS),
     (0, class_validator_1.ValidateNested)({ each: true }),
     (0, class_transformer_1.Type)(() => AuditTrailContextEntry_1.AuditTrailContextEntry),
     __metadata("design:type", Array)
@@ -70,7 +74,7 @@ __decorate([
 ], AuditTrailRecordedV1.prototype, "sourceLambda", void 0);
 __decorate([
     (0, class_transformer_1.Expose)(),
-    (0, class_validator_1.IsISO8601)(),
+    (0, IsIsoDateTime_1.IsIsoDateTime)(),
     __metadata("design:type", String)
 ], AuditTrailRecordedV1.prototype, "occurredAt", void 0);
 __decorate([

package/bin/loanRetailAudit/index.d.ts

@@ -4,6 +4,8 @@ export * from './enums/AuditTrailActionEnum';
 export * from './enums/PiiResourceTypeEnum';
 export * from './enums/PiiAccessActionEnum';
 export * from './constants/auditTrailEntityTypes';
+export * from './constants/auditInputLimits';
+export * from './validators/IsIsoDateTime';
 export * from './dtos/AuditTrailChange';
 export * from './dtos/AuditTrailContextEntry';
 export * from './dtos/requests/CreatePiiAccessLogRequest';

package/bin/loanRetailAudit/index.js

@@ -22,6 +22,9 @@ __exportStar(require("./enums/PiiResourceTypeEnum"), exports);
 __exportStar(require("./enums/PiiAccessActionEnum"), exports);
 // Constantes
 __exportStar(require("./constants/auditTrailEntityTypes"), exports);
+__exportStar(require("./constants/auditInputLimits"), exports);
+// Validadores
+__exportStar(require("./validators/IsIsoDateTime"), exports);
 // DTOs
 __exportStar(require("./dtos/AuditTrailChange"), exports);
 __exportStar(require("./dtos/AuditTrailContextEntry"), exports);

package/bin/loanRetailAudit/validators/IsIsoDateTime.d.ts

@@ -0,0 +1,13 @@
+import { ValidationOptions } from 'class-validator';
+/**
+ * `true` si el valor es una fecha-hora ISO-8601 completa, con zona, que existe en el calendario y
+ * que `Date.parse` entiende.
+ */
+export declare const isIsoDateTime: (value: unknown) => boolean;
+/**
+ * Fecha-hora ISO-8601 completa con zona (L-188).
+ *
+ * `@IsISO8601()` acepta `2026-W44-1`, `2026-305` o `2026`, que `new Date()` no entiende, y la fecha
+ * sin zona, que cada runtime lee distinto. El central calcula el vencimiento del registro con ella.
+ */
+export declare const IsIsoDateTime: (validationOptions?: ValidationOptions) => PropertyDecorator;

package/bin/loanRetailAudit/validators/IsIsoDateTime.js

@@ -0,0 +1,29 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.IsIsoDateTime = exports.isIsoDateTime = void 0;
+const class_validator_1 = require("class-validator");
+/** Fecha-hora completa: fecha, hora con segundos y zona (`Z` u offset). Como `toISOString()`. */
+const ISO_DATE_TIME_PATTERN = /^\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}(\.\d{1,9})?(Z|[+-]\d{2}:\d{2})$/;
+/**
+ * `true` si el valor es una fecha-hora ISO-8601 completa, con zona, que existe en el calendario y
+ * que `Date.parse` entiende.
+ */
+const isIsoDateTime = (value) => typeof value === 'string' &&
+    ISO_DATE_TIME_PATTERN.test(value) &&
+    (0, class_validator_1.isISO8601)(value, { strict: true, strictSeparator: true }) &&
+    Number.isFinite(Date.parse(value));
+exports.isIsoDateTime = isIsoDateTime;
+/**
+ * Fecha-hora ISO-8601 completa con zona (L-188).
+ *
+ * `@IsISO8601()` acepta `2026-W44-1`, `2026-305` o `2026`, que `new Date()` no entiende, y la fecha
+ * sin zona, que cada runtime lee distinto. El central calcula el vencimiento del registro con ella.
+ */
+const IsIsoDateTime = (validationOptions) => (0, class_validator_1.ValidateBy)({
+    name: 'isIsoDateTime',
+    validator: {
+        validate: (value) => (0, exports.isIsoDateTime)(value),
+        defaultMessage: () => '$property debe ser una fecha-hora ISO-8601 completa con zona (p. ej. 2026-11-03T10:00:00.000Z)',
+    },
+}, validationOptions);
+exports.IsIsoDateTime = IsIsoDateTime;

package/bin/loanScoring/dtos/ScoringOffer.d.ts

@@ -3,16 +3,18 @@
  * Modelias la devuelve completa; el camino Círculo+SCI no produce oferta, el plan lo resuelve
  * loan-offerings por nivel).
  *
- * ⚠️ Los valores numéricos se transportan TAL CUAL los entrega el proveedor (el contrato Modelias
- * no confirma unidades de `linea_credito`/`enganche` — ver TD del módulo modelias). NO asumir cents.
+ * Se guarda TAL CUAL la entrega el proveedor, sin convertir unidades (decisión D-4 de la auditoría,
+ * L-181). Unidades observadas contra Modelias DEV (A9 de loan-scoring, `docs/F2/ASSUMPTIONS.md`):
+ * `linea_credito` 10000/7500/4000 y `enganche` 0.1/0.2/0.35. Quien la use para originar convierte
+ * a centavos y a porcentaje; no la sumes a montos en centavos.
  */
 export interface ScoringOffer {
-    /** Línea de crédito aprobada (unidad según proveedor). */
+    /** Línea de crédito aprobada, en PESOS MXN enteros (no centavos): `10000` = $10,000. */
     creditLine: number | null;
-    /** Enganche requerido (unidad/base según proveedor). */
+    /** Enganche requerido como FRACCIÓN del precio (no monto ni porcentaje): `0.2` = 20%. */
     downPayment: number | null;
-    /** Plazos ofrecidos, en semanas. */
+    /** Plazos ofrecidos, en semanas (Modelias usa múltiplos de 13). */
     termsWeeks: number[];
-    /** Tasas por plazo (clave = plazo, valor = tasa decimal). */
+    /** Tasas por plazo: clave = plazo en semanas, valor = tasa en decimal. */
     rates: Record<string, number>;
 }

package/bin/loanScoring/dtos/requests/EvaluateSciRequest.d.ts

@@ -4,18 +4,29 @@ import { SciInternalHistoryInput } from './SciInternalHistoryInput';
  * crédito, vía api-invoker). El proveedor NO se elige acá: lo resuelve el `ScoringProviderRouter`
  * por configuración del tenant (spec 12). El tenant viaja por query `?tenantId=` (convención de
  * los privados Fiado), no en este body.
+ *
+ * La consulta al proveedor se cobra: celular e ids llegan con su formato (L-177); el CURP, acotado.
  */
 export declare class EvaluateSciRequest {
-    /** Acreditado a evaluar (`LoanBorrower`). La evaluación queda ligada a él en el historial. */
+    /**
+     * Llave del intento, opcional (L-173): el mismo valor devuelve la misma evaluación sin volver a
+     * consultar al proveedor. Sin ella, cada llamada es una evaluación nueva, como hasta ahora.
+     */
+    idempotencyKey?: string;
+    /** Acreditado a evaluar (`LoanBorrower`, ULID). La evaluación queda ligada a él en el historial. */
     borrowerId: string;
     /**
      * Cliente retail dueño del acreditado. Se guarda en el snapshot para que el listado del
      * backoffice resuelva el nombre sin volver a preguntarle a loan-credit de quién es.
      */
     retailCustomerId?: string;
-    /** CURP del solicitante (requerido por los proveedores de scoring). */
+    /**
+     * CURP del solicitante (requerido por los proveedores de scoring). Solo con tope de largo:
+     * retail-customer guarda el CURP de Metamap sin validar su formato, y exigir `regexCurp` aquí
+     * tumbaría la evaluación del wizard. El formato lo revisa loan-scoring antes de consultar (L-177, A).
+     */
     curp: string;
-    /** Celular del solicitante (requerido por Modelias). */
+    /** Celular del solicitante: 10 dígitos, sin `+52` (requerido por Modelias). */
     cellphone: string;
     email?: string;
     /**

package/bin/loanScoring/dtos/requests/EvaluateSciRequest.js

@@ -12,35 +12,50 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.EvaluateSciRequest = void 0;
 const class_transformer_1 = require("class-transformer");
 const class_validator_1 = require("class-validator");
+const InputPatterns_1 = require("../../../common/constants/InputPatterns");
+const CreditIdPattern_1 = require("../../../common/constants/CreditIdPattern");
 const SciInternalHistoryInput_1 = require("./SciInternalHistoryInput");
 /**
  * Body de `POST /private/scoring/evaluations` de loan-scoring-business (wizard paso 05 / motor de
  * crédito, vía api-invoker). El proveedor NO se elige acá: lo resuelve el `ScoringProviderRouter`
  * por configuración del tenant (spec 12). El tenant viaja por query `?tenantId=` (convención de
  * los privados Fiado), no en este body.
+ *
+ * La consulta al proveedor se cobra: celular e ids llegan con su formato (L-177); el CURP, acotado.
  */
 class EvaluateSciRequest {
 }
 exports.EvaluateSciRequest = EvaluateSciRequest;
+__decorate([
+    (0, class_validator_1.IsOptional)(),
+    (0, class_validator_1.IsString)(),
+    (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(128),
+    __metadata("design:type", String)
+], EvaluateSciRequest.prototype, "idempotencyKey", void 0);
 __decorate([
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.Matches)(CreditIdPattern_1.CREDIT_ID_PATTERN, { message: 'borrowerId debe ser un ULID de 26 caracteres' }),
     __metadata("design:type", String)
 ], EvaluateSciRequest.prototype, "borrowerId", void 0);
 __decorate([
     (0, class_validator_1.IsOptional)(),
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
 ], EvaluateSciRequest.prototype, "retailCustomerId", void 0);
 __decorate([
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.MaxLength)(64),
     __metadata("design:type", String)
 ], EvaluateSciRequest.prototype, "curp", void 0);
 __decorate([
     (0, class_validator_1.IsString)(),
     (0, class_validator_1.IsNotEmpty)(),
+    (0, class_validator_1.Matches)(InputPatterns_1.PHONE_MX_PATTERN, { message: 'cellphone debe tener 10 dígitos' }),
     __metadata("design:type", String)
 ], EvaluateSciRequest.prototype, "cellphone", void 0);
 __decorate([

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fiado/type-kit",
-  "version": "3.627.0",
+  "version": "3.629.0",
   "description": "",
   "main": "bin/index.js",
   "types": "bin/index.d.ts",

package/src/collection/constants/CollectionResultLimits.ts

@@ -0,0 +1,18 @@
+/**
+ * Largo máximo de los ids que el motor manda en `apply-result` (`attemptId`, `intentId`, `chargeId`,
+ * `holdTxId`). Los reales miden menos de 100: `attemptId` = `<intentId>#<proveedor>#<mecanismo>#<ciclo>`.
+ * Con 256 cabe la llave compuesta del dominio sin acercarse a los 2 KB de la pk de DynamoDB.
+ */
+export const COLLECTION_RESULT_ID_MAX_LENGTH = 256;
+
+/** Largo máximo de `domain`, `directoryId` y `tenantId` en `resolve-charges`. */
+export const COLLECTION_RESOLVE_FIELD_MAX_LENGTH = 128;
+
+/**
+ * Techo técnico de un monto del motor, en PESOS (o en la moneda de la wallet): 1 000 millones.
+ *
+ * No es política de negocio: un equipo de SureKeep cuesta decenas de miles de pesos. Hasta este techo un
+ * `double` representa el monto con resolución de ~0.00001 centavos, así que `Math.round(monto * 100)`
+ * da el centavo exacto y el resultado queda muy por debajo de `Number.MAX_SAFE_INTEGER`.
+ */
+export const COLLECTION_AMOUNT_MAX = 1_000_000_000;

package/src/collection/dtos/ApplyCollectionResultRequest.ts

@@ -1,4 +1,6 @@
-import { IsString, IsEnum, IsOptional, IsNumber } from 'class-validator';
+import { IsString, IsEnum, IsOptional, IsNumber, IsNotEmpty, MaxLength, Min, Max } from 'class-validator';
+import { COLLECTION_AMOUNT_MAX, COLLECTION_RESULT_ID_MAX_LENGTH } from '../constants/CollectionResultLimits';
+import { IsCentPrecision } from '../validators/IsCentPrecision';
 import { CollectionResultStatus } from '../enums/CollectionResultStatus';
 import { MechanismType } from '../enums/MechanismType';
 import { CurrencyId } from '../../currency/enums/CurrencyId';
@@ -10,23 +12,28 @@ import { CurrencyId } from '../../currency/enums/CurrencyId';
  * respuesta se lee como no entregada y el mismo resultado vuelve más tarde, así que aplicarlo tiene
  * que ser idempotente: el dominio deduplica por `attemptId`, que identifica ESE intento y no el cobro
  * entero.
+ *
+ * Los ids no vacíos y con tope evitan que un `attemptId` vacío colapse la deduplicación (L-005). Los
+ * montos van en pesos, con centavos, sin negativos y bajo un techo técnico (L-022).
  */
 export class ApplyCollectionResultRequest {
-  @IsString() attemptId!: string;      // dedupe idempotente en el dominio
-  @IsString() intentId!: string;
-  @IsString() chargeId!: string;
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESULT_ID_MAX_LENGTH) attemptId!: string; // dedupe idempotente en el dominio
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESULT_ID_MAX_LENGTH) intentId!: string;
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESULT_ID_MAX_LENGTH) chargeId!: string;
   @IsString() domain!: string;
   @IsString() tenantId!: string;
   @IsEnum(CollectionResultStatus) result!: CollectionResultStatus;
-  @IsNumber() amountCollected!: number;
-  @IsNumber() amountReserved!: number;
+  /** Pesos cobrados (débito directo). */
+  @IsNumber() @IsCentPrecision() @Min(0) @Max(COLLECTION_AMOUNT_MAX) amountCollected!: number;
+  /** Pesos retenidos (preautorización). */
+  @IsNumber() @IsCentPrecision() @Min(0) @Max(COLLECTION_AMOUNT_MAX) amountReserved!: number;
   @IsEnum(MechanismType) mechanism!: MechanismType;
-  @IsOptional() @IsString() holdTxId?: string;
+  @IsOptional() @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESULT_ID_MAX_LENGTH) holdTxId?: string;
   /**
    * Monto que salió de la wallet, en `walletCurrency`. Sólo viene cuando se retuvo o debitó dinero
    * (ausente en NONE); en USD_PREAUTH son los USD retenidos, que el dominio usa como `amountBlocked`.
    */
-  @IsOptional() @IsNumber() walletAmount?: number;
+  @IsOptional() @IsNumber() @IsCentPrecision() @Min(0) @Max(COLLECTION_AMOUNT_MAX) walletAmount?: number;
   /** Moneda de `walletAmount`. Viene junto con él, sólo cuando se retuvo o debitó dinero. */
   @IsOptional() @IsEnum(CurrencyId) walletCurrency?: CurrencyId;
 }

package/src/collection/dtos/ResolvePendingChargesRequest.ts

@@ -1,4 +1,5 @@
-import { IsString } from 'class-validator';
+import { IsNotEmpty, IsString, MaxLength } from 'class-validator';
+import { COLLECTION_RESOLVE_FIELD_MAX_LENGTH } from '../constants/CollectionResultLimits';
 
 /**
  * El motor pregunta al dominio qué debe un titular ahora mismo.
@@ -6,9 +7,11 @@ import { IsString } from 'class-validator';
  * No lleva importe: el monto es justo lo que se está preguntando. Puede haber cambiado desde que el
  * cargo se dio de alta —por mora, o porque el cliente pagó por otra vía— y sólo el dominio, que es
  * quien aplica sus propias reglas, sabe cuánto queda vivo.
+ *
+ * Los tres campos son llave de búsqueda: vacíos o sin tope terminaban en 500 en el dominio (L-064).
  */
 export class ResolvePendingChargesRequest {
-  @IsString() domain!: string;
-  @IsString() directoryId!: string;
-  @IsString() tenantId!: string;
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESOLVE_FIELD_MAX_LENGTH) domain!: string;
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESOLVE_FIELD_MAX_LENGTH) directoryId!: string;
+  @IsString() @IsNotEmpty() @MaxLength(COLLECTION_RESOLVE_FIELD_MAX_LENGTH) tenantId!: string;
 }

package/src/collection/index.ts

@@ -13,6 +13,10 @@ export * from './enums/AckIntentStatus';
 export * from './enums/RedriveOutboxStatus';
 export * from './enums/DisbursementType';
 
+// Constantes y validadores
+export * from './constants/CollectionResultLimits';
+export * from './validators/IsCentPrecision';
+
 // DTOs
 export * from './dtos/PendingChargeDto';
 export * from './dtos/CollectRequest';

package/src/collection/validators/IsCentPrecision.ts

@@ -0,0 +1,33 @@
+import { ValidateBy, ValidationOptions } from 'class-validator';
+
+/**
+ * Ruido de punto flotante tolerado, en centavos. Restar montos en `double` deja colas como
+ * `648.2299999999999`; un tercer decimal real (0.001 pesos = 0.1 centavos) queda muy por encima.
+ */
+const FLOAT_NOISE_CENTS = 1e-3;
+
+/** `true` si el número no tiene fracción de centavo, salvo ruido de punto flotante. */
+export const hasCentPrecision = (value: unknown): boolean => {
+    if (typeof value !== 'number' || !Number.isFinite(value)) return false;
+    const cents = value * 100;
+    return Math.abs(cents - Math.round(cents)) < FLOAT_NOISE_CENTS;
+};
+
+/**
+ * Monto con a lo más dos decimales (centavos).
+ *
+ * No se usa `@IsNumber({ maxDecimalPlaces: 2 })` porque cuenta los dígitos del `toString()`: rechaza
+ * `648.2299999999999`, que es `648.23` con ruido de una resta. El motor de cobro deja ese ruido al
+ * restar lo cobrado de lo pendiente, y rechazar un resultado con dinero ya cobrado lo manda a la DLQ.
+ */
+export const IsCentPrecision = (validationOptions?: ValidationOptions): PropertyDecorator =>
+    ValidateBy(
+        {
+            name: 'isCentPrecision',
+            validator: {
+                validate: (value: unknown): boolean => hasCentPrecision(value),
+                defaultMessage: (): string => '$property debe ser un monto con a lo más dos decimales',
+            },
+        },
+        validationOptions,
+    );

package/src/gsfConnector/dtos/GsfCreditTerms.ts

@@ -1,5 +1,5 @@
 import { Expose } from 'class-transformer';
-import { IsEnum, IsInt, IsNumber, Max, Min, Validate } from 'class-validator';
+import { IsEnum, IsInt, IsNumber, IsOptional, Max, Min, Validate, ValidateIf } from 'class-validator';
 import { GsfPaymentPeriodicityEnum } from '../enums/GsfPaymentPeriodicityEnum';
 import { GSF_MAX_ANNUAL_RATE, GSF_MAX_CENTS, GSF_MAX_INSTALLMENTS } from '../constants/GsfPatterns';
 import { IsGsfCalendarDate } from '../validators/IsGsfCalendarDate';
@@ -30,12 +30,24 @@ export class GsfCreditTerms {
     @Max(GSF_MAX_ANNUAL_RATE)
     annualRate: number;
 
-    /** Entre cuántos periodos divide el origen la tasa anual: 52 si el interés semanal es tasa / 52. */
+    /**
+     * Entre cuántos periodos divide el origen la tasa anual: 52 si el interés semanal es tasa / 52.
+     * Obligatorio si no viene `rateYearDays`.
+     */
     @Expose()
+    @ValidateIf((terms: GsfCreditTerms) => terms.rateYearDays === undefined)
     @IsInt()
     @Min(1)
     @Max(365)
-    periodsPerYear: number;
+    periodsPerYear?: number;
+
+    /** Días del año con que el origen cobra el interés por día: 360 si el de un periodo es tasa × días / 360. */
+    @Expose()
+    @IsOptional()
+    @IsInt()
+    @Min(360)
+    @Max(366)
+    rateYearDays?: number;
 
     /** IVA sobre el interés en decimal: 0.16. */
     @Expose()

package/src/loanCollectorAssignment/constants/CollectorAssignmentLimits.ts

@@ -0,0 +1,16 @@
+/** Largo máximo de un motivo de reasignación o redistribución. */
+export const COLLECTOR_REASON_MAX_LENGTH = 500;
+
+/** Al menos un carácter que no sea espacio: un motivo en blanco no explica nada. */
+export const COLLECTOR_REASON_NON_BLANK_PATTERN = /\S/;
+
+/** Ids de cadena, tienda, crédito y usuario: hoy ULID de 26; se acepta hasta 64 con guion y guion bajo. */
+export const COLLECTOR_ID_PATTERN = /^[A-Za-z0-9_-]+$/;
+export const COLLECTOR_ID_MAX_LENGTH = 64;
+export const COLLECTOR_ID_MESSAGE = 'El id admite letras, números, guion y guion bajo (máximo 64)';
+
+/** Asignaciones por página del listado. */
+export const COLLECTOR_ASSIGNMENTS_LIST_MAX_LIMIT = 100;
+
+/** Largo máximo del cursor opaco del listado. */
+export const COLLECTOR_ASSIGNMENTS_NEXT_TOKEN_MAX_LENGTH = 1024;

package/src/loanCollectorAssignment/dtos/requests/AutoAssignRequest.ts

@@ -1,23 +1,35 @@
 import { Expose } from 'class-transformer';
-import { IsNotEmpty, IsString } from 'class-validator';
+import { IsNotEmpty, IsString, Matches, MaxLength } from 'class-validator';
+import {
+    COLLECTOR_ID_MAX_LENGTH,
+    COLLECTOR_ID_MESSAGE,
+    COLLECTOR_ID_PATTERN,
+} from '../../constants/CollectorAssignmentLimits';
 
 /**
  * Body de POST /private/collector-assignments/auto-assign (hot path). Lo invoca loan-credit-business
  * al crearse un crédito (F3+); en F1 se prueba con `creditId` dummy. Elige cobrador y persiste ACTIVE.
+ * Los ids son llave en DynamoDB: largo y forma acotados (L-171).
  */
 export class AutoAssignRequest {
     @Expose()
     @IsString()
     @IsNotEmpty()
+    @MaxLength(COLLECTOR_ID_MAX_LENGTH)
+    @Matches(COLLECTOR_ID_PATTERN, { message: COLLECTOR_ID_MESSAGE })
     retailerId!: string;
 
     @Expose()
     @IsString()
     @IsNotEmpty()
+    @MaxLength(COLLECTOR_ID_MAX_LENGTH)
+    @Matches(COLLECTOR_ID_PATTERN, { message: COLLECTOR_ID_MESSAGE })
     creditId!: string;
 
     @Expose()
     @IsString()
     @IsNotEmpty()
+    @MaxLength(COLLECTOR_ID_MAX_LENGTH)
+    @Matches(COLLECTOR_ID_PATTERN, { message: COLLECTOR_ID_MESSAGE })
     storeId!: string;
 }

package/src/loanCollectorAssignment/dtos/requests/ListCollectorAssignmentsRequest.ts

@@ -0,0 +1,52 @@
+import { Expose, Type } from 'class-transformer';
+import { IsEnum, IsInt, IsNotEmpty, IsOptional, IsString, Matches, Max, MaxLength, Min } from 'class-validator';
+import {
+    COLLECTOR_ASSIGNMENTS_LIST_MAX_LIMIT,
+    COLLECTOR_ASSIGNMENTS_NEXT_TOKEN_MAX_LENGTH,
+    COLLECTOR_ID_MAX_LENGTH,
+    COLLECTOR_ID_MESSAGE,
+    COLLECTOR_ID_PATTERN,
+} from '../../constants/CollectorAssignmentLimits';
+import { AssignmentStatusEnum } from '../../enums/AssignmentStatusEnum';
+
+/**
+ * Query de `GET /retailers/:retailerId/collector-assignments`. Todos opcionales: sin filtros lista
+ * la cadena completa, página por página (L-161, L-170). Los filtros llegan validados, no crudos.
+ */
+export class ListCollectorAssignmentsRequest {
+    @Expose()
+    @IsOptional()
+    @IsEnum(AssignmentStatusEnum)
+    status?: AssignmentStatusEnum;
+
+    @Expose()
+    @IsOptional()
+    @IsString()
+    @MaxLength(COLLECTOR_ID_MAX_LENGTH)
+    @Matches(COLLECTOR_ID_PATTERN, { message: COLLECTOR_ID_MESSAGE })
+    storeId?: string;
+
+    @Expose()
+    @IsOptional()
+    @IsString()
+    @MaxLength(COLLECTOR_ID_MAX_LENGTH)
+    @Matches(COLLECTOR_ID_PATTERN, { message: COLLECTOR_ID_MESSAGE })
+    collectorUserId?: string;
+
+    /** Asignaciones por página, de 1 a 100. Sin él, el lambda pone su default. */
+    @Expose()
+    @IsOptional()
+    @Type(() => Number)
+    @IsInt()
+    @Min(1)
+    @Max(COLLECTOR_ASSIGNMENTS_LIST_MAX_LIMIT)
+    limit?: number;
+
+    /** Cursor opaco que devolvió la página anterior. */
+    @Expose()
+    @IsOptional()
+    @IsString()
+    @IsNotEmpty()
+    @MaxLength(COLLECTOR_ASSIGNMENTS_NEXT_TOKEN_MAX_LENGTH)
+    nextToken?: string;
+}

package/src/loanCollectorAssignment/dtos/requests/ReassignRequest.ts

@@ -1,13 +1,20 @@
 import { Expose } from 'class-transformer';
-import { IsNotEmpty, IsString } from 'class-validator';
+import { IsNotEmpty, IsString, Matches, MaxLength } from 'class-validator';
+import {
+    COLLECTOR_REASON_MAX_LENGTH,
+    COLLECTOR_REASON_NON_BLANK_PATTERN,
+} from '../../constants/CollectorAssignmentLimits';
 
 /**
  * Body de POST /retailers/:retailerId/collector-assignments/:assignmentId/reassign (reasignación manual).
  * `reason` obligatorio (auditoría de acción crítica — modelo-datos §10).
+ * Motivo no en blanco y de hasta 500 caracteres (L-171).
  */
 export class ReassignRequest {
     @Expose()
     @IsString()
     @IsNotEmpty()
+    @Matches(COLLECTOR_REASON_NON_BLANK_PATTERN, { message: 'reason no puede ir en blanco' })
+    @MaxLength(COLLECTOR_REASON_MAX_LENGTH)
     reason!: string;
 }

package/src/loanCollectorAssignment/dtos/requests/RedistributeRequest.ts

@@ -1,13 +1,20 @@
 import { Expose } from 'class-transformer';
-import { IsNotEmpty, IsString } from 'class-validator';
+import { IsNotEmpty, IsString, Matches, MaxLength } from 'class-validator';
+import {
+    COLLECTOR_REASON_MAX_LENGTH,
+    COLLECTOR_REASON_NON_BLANK_PATTERN,
+} from '../../constants/CollectorAssignmentLimits';
 
 /**
  * Body de POST /retailers/:retailerId/collectors/:userId/redistribute. Redistribuye la cartera activa de
  * un cobrador (ej. al desactivarlo). `reason` obligatorio (ej. `USER_INACTIVATED`) — auditoría §10.
+ * Motivo no en blanco y de hasta 500 caracteres (L-171).
  */
 export class RedistributeRequest {
     @Expose()
     @IsString()
     @IsNotEmpty()
+    @Matches(COLLECTOR_REASON_NON_BLANK_PATTERN, { message: 'reason no puede ir en blanco' })
+    @MaxLength(COLLECTOR_REASON_MAX_LENGTH)
     reason!: string;
 }

package/src/loanCollectorAssignment/dtos/responses/ListCollectorAssignmentsResponse.ts

@@ -0,0 +1,10 @@
+import { CollectorAssignmentResponse } from './CollectorAssignmentResponse';
+
+/**
+ * Respuesta de `GET /retailers/:retailerId/collector-assignments`. Conserva la clave `assignments`
+ * que ya lee la webapp; `nextToken` viene solo si hay otra página (ausente en la última).
+ */
+export interface ListCollectorAssignmentsResponse {
+    assignments: CollectorAssignmentResponse[];
+    nextToken?: string;
+}

package/src/loanCollectorAssignment/index.ts

@@ -2,6 +2,9 @@
 export * from './enums/AssignmentStrategyEnum';
 export * from './enums/AssignmentStatusEnum';
 
+// Constantes
+export * from './constants/CollectorAssignmentLimits';
+
 // Shared DTOs
 export * from './dtos/PriorityWeights';
 
@@ -11,9 +14,11 @@ export * from './dtos/requests/UpdateAssignmentRuleRequest';
 export * from './dtos/requests/AutoAssignRequest';
 export * from './dtos/requests/ReassignRequest';
 export * from './dtos/requests/RedistributeRequest';
+export * from './dtos/requests/ListCollectorAssignmentsRequest';
 
 // Response DTOs
 export * from './dtos/responses/AssignmentRuleResponse';
 export * from './dtos/responses/CollectorAssignmentResponse';
 export * from './dtos/responses/CollectorLoadResponse';
 export * from './dtos/responses/RedistributeSummaryResponse';
+export * from './dtos/responses/ListCollectorAssignmentsResponse';

package/src/loanConfig/constants/ParameterRequestLimits.ts

@@ -0,0 +1,11 @@
+/** Claves por llamada a bulk-get: el límite de BatchGetItem. Los consumidores mandan 20 o menos. */
+export const BULK_GET_PARAMETERS_MAX_ITEMS = 100;
+
+/** Parámetros por llamada a bulk-update; la webapp manda solo los editados (hoy 22 como máximo). */
+export const BULK_UPDATE_PARAMETERS_MAX_ITEMS = 50;
+
+/** Largo máximo del motivo de un cambio de parámetro. */
+export const PARAMETER_REASON_MAX_LENGTH = 500;
+
+/** Al menos un carácter que no sea espacio: un motivo en blanco no explica nada. */
+export const PARAMETER_REASON_NON_BLANK_PATTERN = /\S/;