Docker 与 Podman：架构、兼容与共存

graph LR
    subgraph "容器的两个时代"
        D["Docker / 推动容器工作流普及 / Client-Server 架构 / 生态最成熟"]
        P["Podman / OCI 容器引擎 / Daemonless 架构 / 支持 rootless"]
    end
    D -->|"标准化了容器"| OCI["OCI 标准 / 镜像格式 / 运行规范"]
    P -->|"遵循同一标准"| OCI

Docker:
  docker CLI  ──REST API──▶  dockerd (ROOT, 常驻)  ──▶  containerd  ──▶  runc
                              └─ 所有操作都经过它
                              └─ 它是唯一的控制点

Podman:
  podman CLI  ──直接 fork/exec──▶  conmon  ──▶  crun/runc
               └─ 每次启动新进程
               └─ 没有中央控制点

# 这两个命令几乎等价
docker run -d --name web -p 8080:80 nginx:alpine
podman run -d --name web -p 8080:80 nginx:alpine

# 简单 CLI 可用 alias 试验，但脚本/API/Compose/buildx/远程行为需逐项验证
alias docker=podman
docker ps          # 实际跑的是 podman ps
docker build -t myapp .  # 实际跑的是 podman build

# Docker（默认）：docker run 通过 dockerd socket 执行
# 父进程可能是 shim，权限由 daemon/rootless、userns 和容器 USER 等共同决定
sudo docker run -d nginx:alpine
ps aux | grep nginx
# 示意：ps 的 USER 列是进程用户，不显示父进程；查看父关系另查 PPID

# Podman rootless：进程位于用户映射的权限范围，父关系与用户身份不是同一概念
podman run -d nginx:alpine
ps aux | grep nginx
# 示意：宿主可见 UID 取决于用户命名空间映射

graph TD
    A["我需要什么？"] --> B{"需要 Docker 专属功能？"}
    B -->|"Docker Swarm"| D["用 Docker"]
    B -->|"Docker Build Cloud"| D
    B -->|不需要| C{"运行环境？"}
    C -->|"个人开发机"| E["Podman / 按 rootless 与工具链要求验证"]
    C -->|"生产服务器"| F{"用什么管理？"}
    F -->|"systemd"| G["Podman + Quadlet / 声明式 + 原生集成"]
    F -->|"Compose 文件"| H{"单机还是集群？"}
    H -->|"单机"| I["Docker 或 Podman / 看团队习惯"]
    H -->|"集群"| J["Docker Swarm 或 K8s"]
    C -->|"公司强制"| K["用公司的标准 / 通常 Docker"]

# 两者可在同台机器并存，分别管理存储；端口、CLI/socket 兼容包和资源仍可能冲突
sudo docker run -d nginx:alpine        # Docker 容器
podman run -d nginx:alpine             # Podman 容器（rootless）

# 查看 Docker 容器
sudo docker ps

# 查看 Podman 容器
podman ps

# 镜像互导
podman save nginx:alpine -o nginx.tar
sudo docker load -i nginx.tar
# 反之亦然