技能介绍

要解决的问题

传统容器引擎依赖一个常驻的守护进程，并以 root 身份运行。这在开发机和 CI/CD 流水线中扩大了攻击面：守护进程一旦被攻破，攻击者实际上就拥有了宿主机的全部权限。对于只想在本地构建、测试 OCI 镜像的工程师来说，这种架构明显过重。

核心能力与工作方式

Podman 去掉了守护进程，改为由 CLI 直接管理容器的完整生命周期：

Docker 兼容 CLI：提供与 Docker 一致的命令行接口，常用命令可原样照搬；容器既能在本机运行，也能在远程系统上运行。
多镜像格式支持：同时兼容 OCI 镜像与 Docker 镜像，不需要额外的转换工具。
Rootless 运行：不需要 setuid 二进制，普通用户即可启动容器；容器内的 root 通过用户命名空间映射为宿主机的当前用户，即使容器被突破也无法直接获得宿主机 root 权限。
Pod 管理：支持以 pod 为单位编排容器，pod 内容器共享网络命名空间，贴合 Kubernetes 的使用习惯。
REST API：同时提供 Docker 兼容接口和一套暴露高级 Podman 功能的增强接口，方便集成进现有工具链。
跨平台支持：在 macOS 和 Windows 上通过 podman machine 启动虚拟机承载容器运行时。

适用边界与注意点

无守护进程和 rootless 并非没有代价：rootless 模式下端口、文件系统映射遵循用户命名空间规则，绑定 80 这类特权端口需要额外配置；macOS 与 Windows 并非原生支持，实际依赖虚拟机，性能和磁盘行为与 Linux 原生环境存在差异。Docker 兼容主要体现在 CLI 和镜像格式层面，依赖完整 Docker 生态的工作流需要先验证兼容性。