普通用户默认无法运行MySQL容器，因Podman rootless模式需提前配置subuid/subgid映射、slirp4netns和fuse-overlayfs网络存储组件、cgroup v2兼容的crun运行时，否则容器启动失败或端口映射无效。
能，但必须提前配置 rootless 支持，否则 podman run 会直接报错或静默失败（比如容器启动后立刻退出、端口无法映射、/var/lib/mysql 权限拒绝）。
为什么普通用户默认跑不了 MySQL 容器
Podman 的 rootless 模式不是开箱即用的。它依赖内核命名空间、用户 ID 映射和专用文件系统驱动。没配好时，常见现象是：podman run 看似成功返回容器 ID，但 podman ps 查不到，podman logs my-mysql 显示空或 permission denied，MySQL 进程根本没起来。
根本原因有三个：
-
subuid/subgid未为当前用户分配 UID/GID 范围，导致无法创建隔离的用户命名空间 - 没装
slirp4netns（网络）、fuse-overlayfs（存储），rootless 下缺一不可 - 没启用 cgroup v2 或 OCI 运行时不兼容（如旧版
runc在 cgroup v2 下会 crash）
三步完成 rootless 基础配置（以 Ubuntu/Debian 或 RHEL/CentOS Stream 为例）
以下命令需由管理员执行一次，之后普通用户即可直接使用 podman：
- 安装必要组件：
sudo apt install slirp4netns fuse-overlayfs（Ubuntu）或sudo dnf install slirp4netns fuse-overlayfs（RHEL/CentOS） - 为用户分配子 ID：
sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 $USER（替换$USER为实际用户名） - 确认运行时支持 cgroup v2：
cat /proc/sys/user/max_user_namespaces应输出 ≥ 100；若用 crun（推荐），检查podman info | grep runtime是否为crun，否则编辑/usr/share/containers/containers.conf取消注释runtime = "crun"
配置完后，普通用户首次运行 podman info 会自动初始化 ~/.config/containers/ 目录。此时再拉镜像、跑容器才真正生效。
运行 MySQL 8.4 容器的关键参数差异
Docker 用户容易照搬 -p 3306:3306，但在 rootless Podman 下这会失败——普通用户无法绑定 1024 以下端口。必须改用高位端口，并显式指定网络模式：
- 端口映射必须用 1024 以上：例如
--publish 33066:3306（宿主机 33066 → 容器 3306） - 加
--network slirp4netns（rootless 默认网络，不加有时连不上） - 数据卷路径必须可写：
-v ~/mysql-data:/var/lib/mysql:Z（:Z是 SELinux 必选项，即使关闭 SELinux 也建议保留） - MySQL 8.4 默认禁用
mysql_native_password插件，如果客户端不支持 caching_sha2_password，要加环境变量：-e MYSQL_ROOT_PASSWORD=xxx -e default_authentication_plugin=mysql_native_password
完整命令示例：
podman run --name mysql84 -d \ --network slirp4netns \ --publish 33066:3306 \ -e MYSQL_ROOT_PASSWORD=my-secret-pw \ -e default_authentication_plugin=mysql_native_password \ -v ~/mysql-data:/var/lib/mysql:Z \ -v ~/mysql-conf:/etc/mysql/conf.d:Z \ docker.io/library/mysql:8.4.6
连接与验证时最容易忽略的点
rootless 容器的网络栈是用户级的，localhost:33066 在宿主机上能连，但其他机器默认连不上——因为 slirp4netns 是 NAT 模式，不暴露给局域网。如果需要远程访问：
- 要么改用
--network host（仅限 rootless 用户在支持 host 网络的发行版上，且需额外配置podman system service） - 要么在宿主机上做端口转发（
iptables或firewalld），但注意 rootless 容器不参与系统级防火墙规则 - 连接字符串中的 host 必须是宿主机 IP（不是
127.0.0.1），且确保 MySQL 绑定的是0.0.0.0（默认已是）
另外，podman exec -it mysql84 mysql -uroot -p 能进，不代表外部客户端能连——务必检查 MySQL 的 bind-address 和 skip-networking 配置，这些在 rootless 模式下不会自动覆盖，得靠挂载 my.cnf 或环境变量控制。
