Docker 还是 Podman：同行评审实测 29% 对 41% 开销，一年差价 14400 美元
> 原文：shattered.io《Docker vs Podman: 29% vs 41% Overhead [2026]》，作者 Daniel Roth，2026-11-03 更新。本文据原文改写，数据以原文为准。
先给结论：两者谁也没淘汰谁
截至 2026 年 11 月，Docker Engine 最新版 29.9.3，Podman 最新稳定版 6.1.4（10 月 12 日发布）。Stack Overflow 2025 开发者调查里，Docker 使用率 71.1%，Podman 11.1%——但 Podman 在 RHEL 8/9、Fedora、OpenShift 上是默认引擎，GitHub Actions 和 GitLab CI 也都官方支持它做无 root 构建。
架构差异是一切分歧的根源
Docker 是经典的客户端-守护进程模型：dockerd 通常以 root 常驻，谁摸到 socket 谁就等于拿到了宿主机 root。Podman 干脆不要守护进程，CLI 直接 fork-exec 起 OCI 运行时（默认 crun），容器是启动它的用户的子进程，默认 rootless。Kubernetes 在 1.24 移除 dockershim 之后，整个生态都在往 Podman 当初的设计靠。
安全上这个差别的实际含义：Docker 上容器被攻破，如果守护进程是 root，攻击者直接面对宿主机 root；Podman 的逃逸被关在用户命名空间里。SELinux 标签（:z/:Z）在 Podman 里是一等公民，在 Docker 里是可选加固项。
实测数据：四篇学术研究的共识
标题里那组数字来自 arXiv 的同行评审研究《A Qualitative and Quantitative Analysis of Container Engines》：以裸机为基线，Podman 最高开销 29%，Docker 41%。其余三篇（IEEE WETICE 2023、ACM SE 2024、arXiv VM 实验）拼起来的画像是：小容器/短生命周期任务 Podman 更快更省内存，大容器长任务 Docker 扳回一局，I/O 密集型两边基本打平。原文提醒：任何”Podman 快 33%”式的单一标题党数字，先问人家用了什么硬件和负载。
价格才是多数团队的决策变量
Podman 引擎和 Desktop 全场景免费。Docker Desktop 从 2021 年 8 月起对超过 250 人或年收入超 1000 万美元的公司收费：Business 档 24 美元/席位/月，50 人团队就是 14400 美元/年——这还没算 Hub 存储和构建分钟数。引擎本身两边都是 Apache 2.0 免费，收费线画在 Desktop 上。
迁移别指望一条 alias 走天下
alias docker=podman 能覆盖日常命令，但原文给的迁移清单里水很深：registry 凭据文件不通用要重登；SELinux 卷标签要补 :z；Compose 边缘特性（build secrets、healthcheck、profiles）要逐个测；原文给的排期是 20-50 个服务的团队预留 4-8 周，且至少并行跑一个发布周期再下线 Docker。还有个新坑：2026-11-05 有报道称 Podman 对 8 月 3 日后用 OCI media type 构建的镜像可能丢失健康检查状态——迁移前务必实测。
