用途：这是一个包清单任务，用于回答"哪些插件容器带有哪个 CVE 修复"，数据来自 git，而不是发布进展报告（后者属于 /rhdh-release-status 的职责）。
主要能力：在发布分支上遍历 rhdh-plugin-export-overlays 的 git 历史，从指定 revision 起，按 CVE 与受影响插件包逐行生成 RHDH CVE 管理流程所期望的 CSV 导出，范围限定为正式可用的 workspace。
使用方式：加载 workflows/overlay-cve-export.md，其中涵盖提取运行、Jira 富化与标志位。两份额外引用按需读取：references/overlay-cve-csv-format.md 说明确切的表头、行规则、Container 列与默认输出路径；references/overlay-cve-sources.md 说明哪些 workspace 与 commit 计入、如何提取 CVE 和 Jira key，以及 --since 如何解析。不要自行重新实现解析：scripts/compute-plugin-package-overlay-cve-list.mjs 负责 commit 选择、CVE 提取、配对、去重和 CSV 结构，应当运行它；手动阅读仓库并拼装行会得到与流程校验所用导出不同的结果。该脚本从不调用 Jira，富化是单独的一步：调用 /rhdh-jira-api 获取 issue 字段，写入 JSON 文件，再通过 --apply-enrich 回填。
写入规则：提取过程只做克隆和读取。写入富化 JSON 和最终 CSV 会在用户磁盘上创建文件，运行前需说明落盘位置并取得同意。不要把 CSV 提交进任何仓库，也不要将其发布到任何地方。
完成条件：写明 CSV 路径、说明行数，并报告脚本实际解析出的 --since revision，而非所请求的版本字符串。每个没有 Jira issue 的 CVE 都要列出代替它的 overlays commit URL。CVSS 仅在 ProdSec CVSS 字段提供时出现，空白 CVSS 列是正确输出，绝不猜测填充。被 --jql 过滤器丢弃的行也需计数，以区分空结果与过滤结果。任何输出中都不得出现凭据或 OAuth 密钥。