先说结论：别在运行时上纠结太久
2022 年我把公司一个 30 节点的 K8s 集群从 Docker 20.10.17 换到了 containerd 1.6.20，不是因为 Docker 不好，而是 Kubernetes 1.24 移除了 dockershim，长痛不如短痛。迁移后单节点内存占用从 1.8G 降到了 1.1G，镜像拉取并发从 3 个提升到 10 个。但省下来的内存，后来全被一个 Java 应用的堆外内存吃回去了——那是另一个故事。所以我的第一个独立观点是：容器运行时的性能差异，在大多数业务场景下远小于镜像分层和 cgroup 配置带来的影响。你花三天对比 Docker 和 Podman 的命令行兼容性，不如花三小时检查一下你的容器有没有设置 --memory-swap。
Docker、Podman、containerd 的真实差异在哪
Docker 是 C/S 架构，dockerd 常驻，默认用 containerd 作为底层运行时，再加一层自己的网络和卷管理。Podman 是无守护进程的，直接调用 runc（或 crun），rootless 模式支持得更好，podman generate systemd 可以生成 unit 文件。containerd 更底层，面向 K8s 的 CRI 接口，不提供 docker build 这种命令，但 nerdctl 可以补上。具体数字：在相同硬件上，用 sysbench 测容器启动 100 次，Docker 平均 210ms，Podman 180ms，containerd 150ms。差距不大，但 Podman 的 rootless 模式在端口 <1024 时需要 sysctl net.ipv4.ip_unprivileged_port_start=80，这个坑我踩过。另一个真实细节：Docker 的默认存储驱动是 overlay2，Podman 也是，但 Podman 在用户命名空间下会多一层 fuse-overlayfs，性能下降约 15%，尤其在大量小文件写入时。
生产环境最容易被忽略的 5 个参数
第一，--memory 和 --memory-swap 必须一起设。只设 --memory=512m，容器可以用满 512M 内存再加 512M swap，K8s 里如果没配 memory.swap，节点会直接 OOM。第二，--pids-limit。默认是 4096（Docker），一个 Node.js 服务因为文件描述符泄漏创建了 8000 个进程，直接拖垮宿主机。第三，cgroup v2 下 memory.max 和 memory.high 的区别。v2 用 memory.high 做软限制，但很多镜像里的 JVM 只认 -Xmx，不会自动适配。第四，--ulimit nofile。默认 1024，对于 Go 写的网关来说太小，我设成 65535 后，P99 延迟从 45ms 降到 12ms。第五，镜像的 HEALTHCHECK。很多团队用 K8s 的 livenessProbe，却忘了 Dockerfile 里的 HEALTHCHECK 在 containerd 下默认不执行，需要显式配置。这些参数比选 Docker 还是 Podman 重要得多。
一个反直觉的观察：容器化真正的成本在镜像分发
我们有一个 1.2GB 的 Java 镜像，用了多阶段构建后降到 280MB，但拉取时间从 45 秒变成 12 秒。你以为这就完了？不，因为镜像层数从 18 层变成 7 层，但其中一层是 150MB 的依赖包，每次改代码都会重新生成这一层。后来我用了 --mount=type=cache 和 jdeps 分析依赖，把不用的模块删掉，最终镜像 180MB，层数 5 层，拉取 6 秒。这里的具体参数：docker buildx build --cache-to type=registry,ref=...。但 Podman 的 --layers=false 会禁用层缓存，反而更慢。所以我的第二个独立观点：容器化不是“轻量级虚拟机”，它是“进程隔离 + 镜像分发协议”。你优化运行时，不如优化镜像的层和分发网络。我们后来在内网部署了 Harbor 并开启 P2P 分发（Dragonfly），20 个节点同时拉取 180MB 镜像，总耗时从 90 秒降到 18 秒。
到底怎么选？我的建议可能不中听
如果你只是本地开发，Docker Desktop 依然最省心，但公司采购要钱，Podman Desktop 免费且 rootless 更安全。如果你跑 K8s，直接用 containerd，别用 Docker，因为 dockershim 已经没了，而且 containerd 的 CRI 插件更稳定。如果你需要 systemd 集成和 Pod 概念，Podman 的 podman pod 比 Docker Compose 更接近 K8s 的 Pod 模型。但如果你问我个人用什么，我在 Mac 上用 OrbStack（不是广告，它启动比 Docker Desktop 快 3 倍），在 Linux 服务器上用 containerd + nerdctl。最后说一句：别被“容器化”这个词吓到，它只是把进程、文件系统、网络命名空间打包，真正难的是怎么让这个包在生产环境活下来。我见过太多团队花两周选型，却花两个月调试 cgroup 内存泄漏。先把你手头的 docker stats 打开，看看哪个容器的内存曲线在半夜偷偷上涨，那才是正事。