OCI标准是容器迁移的核心契约，决定兼容性与成本：镜像需符合OCI Image Spec，运行时调用链应避免dockerd依赖，权限模型宜适配rootless，编排需剥离Docker专有扩展。
理解 OCI 标准 Runtime 规范是评估迁移成本的关键切入点——它不是技术细节的堆砌，而是定义了“容器该长什么样、怎么启动、如何隔离”的最小契约。只要工具遵守这个契约，镜像和运行时就能互换。Docker、Podman、containerd 都是这个契约的实现者，但实现方式不同，迁移成本就取决于你当前依赖的是契约本身，还是 Docker 特有的实现逻辑。
看你的镜像是否真正符合 OCI 标准
OCI 镜像规范（Image Spec）定义了分层结构、config.json、manifest.json 等格式。只要你的镜像由标准构建工具（如 docker build、buildah、podman build）生成，并推送到符合 OCI 的 registry（Docker Hub、Quay、Harbor），它就是可移植的。
- ✅ 安全：绝大多数公开镜像（nginx:alpine、redis:7）和企业自建镜像（基于 FROM ubuntu:22.04 或 scratch）天然兼容，可直接用 podman pull 或 ctr images pull 拉取运行
- ⚠️ 注意：若使用了 Docker Desktop 的 BuildKit 特有语法（如 RUN --mount=type=cache 且未标注 oci 兼容性），或依赖 docker buildx bake 的非标准 target 输出，则需验证生成的镜像是否含有效 OCI config；可用 skopeo inspect 查看 manifest 和 config 字段
看你的运行时调用链是否绕过了守护进程依赖
Docker 的实际执行链是：docker CLI → dockerd → containerd → containerd-shim → runc；而 Podman 是：podman CLI → runc（或 crun）；containerd 则常作为独立服务被 k8s 或 nerdctl 调用。
- ✅ 低风险场景：如果你只用 docker run / docker ps / docker logs 等基础命令，且未直接调用 dockerd API（如 /var/run/docker.sock），那么替换成 podman 基本零适配——命令参数、端口映射、卷挂载写法完全一致
- ❌ 高风险场景：若 CI/CD 脚本中硬编码了 curl -X POST http://localhost:2375/containers/create，或通过 socket 文件注入权限（如 Jenkins agent 挂载 /var/run/docker.sock），这类深度集成必须重写为 Podman 的 REST API（podman system service）或改用 rootless systemd 用户服务
看你的权限与隔离模型是否绑定 root 用户
OCI Runtime Spec 明确要求支持用户命名空间（userns），但 Docker 默认禁用，需显式加 --userns-remap；而 Podman 默认启用 rootless 模式，containerd 也原生支持非 root shim。
- ✅ 优势转化点：如果你的应用本就不需要 root 权限（如 Web 服务监听非特权端口），迁移到 Podman 后可直接以普通用户运行，省去安全加固步骤
- ⚠️ 迁移注意：若容器内执行 apt update、加载内核模块、绑定 80 端口等操作，需改为 podman run --user 0 或提前配置 /etc/subuid 映射，否则会因 capability 缺失失败
看你的编排与生命周期管理是否依赖专有扩展
OCI 不定义编排，所以 Docker Compose（.yml）和 Kubernetes（.yaml）属于上层协议。Podman 支持 podman-compose（兼容大部分 v2/v3 语法）和原生 podman play kube；containerd 则依赖 nerdctl compose 或直接对接 k8s CRI。
- ✅ 平滑过渡：纯容器编排（无 network driver 插件、无 swarm 特有字段）的 docker-compose.yml 可直接用 podman-compose up
- ⚠️ 需调整项：若用了 deploy.resources.reservations（Docker Swarm 专属）、driver: overlay2（存储驱动声明）、或 docker stack deploy，这些不属于 OCI 范畴，必须重构为 Podman pod + systemd 或迁移到 Kubernetes YAML
