rootless 容器更安全的关键在于 user namespace 隔离：podman 将容器内 uid 0 映射为主机普通用户 uid，实现真正权限降级；而 docker rootless 为实验性且功能受限，依赖 root dockerd 进程存在单点风险。
rootless 容器为什么更安全？关键不在“不加 sudo”，而在命名空间隔离
Podman 的 rootless 模式不是简单地“不用 root 执行命令”，而是通过 Linux user namespace 把容器内 UID 0 映射到主机上的普通用户 UID（比如 1001），真正实现权限降级。Docker 即使加了 --user，底层仍依赖 root 权限的 dockerd 进程调度，一旦该进程被攻破，整机就失守。
- 容器内
ps aux看到的 root 进程，在宿主机上实际属于你的普通用户（id -u输出值） - Podman 自动启用
userns-remap和 cgroup v2 限制，内存/CPU 不会越界抢占系统资源 - Docker 的 rootless 支持是实验性功能（需手动启用
dockerd-rootless.sh），且不兼容build、network等核心操作 - 常见错误现象：
permission denied on /var/lib/containers—— 这是 Podman 尝试写入系统级存储路径，应改用用户目录（~/.local/share/containers）
迁移 Docker 脚本到 Podman rootless：三步绕过最痛的坑
多数人以为改个 docker 为 podman 就完事，结果在 CI 流水线里挂掉。根本问题在于：Docker 默认用 root 存储镜像，而 Podman rootless 默认只读自己的 ~/.local/share/containers，且不共享镜像层。
- 不要直接运行
podman build后立刻podman run—— 镜像构建成功但可能未被当前用户 registry 缓存，报错image not known - 显式指定存储驱动：
PODMAN_ROOTLESS_STORAGE_DRIVER=overlay（尤其在 CentOS/RHEL 8+ 上避免 vfs 回退导致巨慢） - CI 场景必须加
--format=docker导出镜像：podman save -o app.tar myapp:latest，否则podman load在另一用户下无法识别 OCI layout - 卷挂载要检查 SELinux 上下文：
podman run -v $(pwd)/data:/app/data:Z中的:Z是必须的，否则 rootless 下拒绝访问
网络与端口映射：rootless 模式下 -p 80:8080 为什么会失败？
Linux kernel 限制非特权用户绑定 1024 以下端口，这是 rootless 的硬约束，不是 Podman bug。Docker 能做到是因为 dockerd 以 root 运行并主动做端口转发；Podman rootless 则完全交由内核的 user-mode networking（slirp4netns）处理，它默认不提供端口提升能力。
- 正确做法：用
--publish 8080:8080并让前端反代（如 nginx 监听 80，转发到 localhost:8080） - 开发调试可临时放宽：
sudo sysctl net.ipv4.ip_unprivileged_port_start=0（仅测试环境，重启失效） - 别信 “加
sudo setcap cap_net_bind_service+ep /usr/bin/slirp4netns” —— 这会破坏 rootless 安全模型，且新版 slirp4netns 已移除对该能力的支持 - 错误现象：
Error: rootless port forwarding requires slirp4netns >= 1.2.0→ 升级slirp4netns包，而非降级 Podman
systemd 集成时最容易漏掉的配置项
用 podman generate systemd --new --name myapp 生成服务文件看似省事，但 rootless 模式下若没设对 User= 和 Environment=，服务会静默失败或退回到 root 模式。
- 必须手动修改生成的服务文件，在
[Service]段添加：User=yourusername和Environment=HOME=/home/yourusername - 不能依赖
podman system service—— 它是为 rootful 设计的 daemon 替代品，rootless 下启动即报cannot listen on socket -
RestartSec=5要配合StartLimitIntervalSec=0，否则 systemd 会因快速失败触发启动抑制 - 镜像拉取失败时，日志里只会显示
failed to resolve reference，真实原因是 rootless 用户无法访问/etc/containers/registries.conf，得复制一份到~/.config/containers/registries.conf
真正难的不是命令替换，而是把“容器属于系统”这个隐含假设，扭转为“容器属于用户”。所有路径、网络、存储、日志，默认都不再共享，也不再自动继承 root 权限。这点一旦忽略，排查会卡在权限、路径、上下文三个维度交叉的盲区里。
