普通用户直接 podman run 启动 MySQL 8.4 容器大概率失败，根本原因是 rootless 模式下未配置 /etc/subuid 和 /etc/subgid 的 UID/GID 映射范围，且数据卷挂载缺少 :Z 标签导致权限拒绝，MySQL 因无法写入 /var/lib/mysql 而静默退出。
普通用户直接 podman run 启动 MySQL 8.4 容器大概率失败——不是镜像拉不下来，而是容器启动后立刻退出、/var/lib/mysql 权限拒绝、端口映射无效或日志里只显示 permission denied。根本原因不是命令写错了，是 rootless 模式底层依赖没配齐。
为什么 podman run -d mysql:8.4.6 会静默退出
Podman rootless 容器无法像 root 用户那样自由操作 UID/GID 映射、挂载 overlayfs 或分配网络命名空间。MySQL 8.4 启动时默认以 UID 999（mysql 用户）写入 /var/lib/mysql，但普通用户在未配置 subuid/subgid 的情况下，根本无法将宿主机上的任意目录映射为该 UID 可写的容器路径。
- 现象：
podman ps看不到容器，podman logs mysql8输出空或chown: changing ownership of '/var/lib/mysql/': Permission denied - 关键检查点：
cat /etc/subuid /etc/subgid中是否包含当前用户名对应的一段连续 UID/GID 范围（如alice:100000:65536） - 没配好就强行运行，Podman 会 fallback 到不安全的
chroot模式或直接拒绝挂载，MySQL 进程根本起不来
podman run 启动 MySQL 8.4 必须带的参数和路径约束
MySQL 8.4 镜像对初始化逻辑更严格，环境变量仅在数据目录为空时生效；一旦挂载了已有数据盘，MYSQL_ROOT_PASSWORD 等变量会被忽略。所以挂载路径、SELinux 上下文、初始化时机必须一次对齐。
-
-v /mnt/mysql_data:/var/lib/mysql:Z：必须用:Z（非:z），否则 SELinux（AlmaLinux/RHEL）会阻止 mysqld 写入；/mnt/mysql_data目录需由普通用户可读写（chown $USER:$USER /mnt/mysql_data） -
-e MYSQL_ROOT_PASSWORD=xxx仅在/var/lib/mysql为空时触发初始化；若复用旧数据盘，请确保该目录下已有ibdata1和mysql/子目录，否则 MySQL 会尝试重建并报错 - 额外参数建议：
--userns=keep-id（避免 UID 映射冲突）、--security-opt label=disable（临时绕过 SELinux 报错，仅调试用） - 不要加
--privileged：rootless 模式下该参数被忽略，且破坏安全边界
用 Quadlet 启动 MySQL 8.4.6 的实际配置要点
Podman 5.4 的 Quadlet 不支持 Args= 或 CPUQuota=，所有非标准选项必须塞进 PodmanArgs=，且 Restart=always 必须写在 [Service] 段而非 [Container]。
-
Volume=/mnt/mysql_data:/var/lib/mysql:Z是唯一可靠的数据挂载写法；:ro或不加标记会导致启动失败 -
PodmanArgs=--memory=1200m --cpus=1.5才能限制资源；写成Memory=1200m会被 Quadlet 忽略 -
Environment=只在首次生成服务单元时生效，修改后需sudo systemctl daemon-reload && sudo systemctl restart mysql.container - 确认生效：
systemctl --user status mysql.container（非sudo systemctl status），因为 Quadlet rootless 服务默认注册到用户 session
验证 MySQL 8.4 是否真正在容器里跑起来了
别只信 podman ps 显示状态为 Up——MySQL 进程可能已崩溃但容器还在运行。最可靠的验证方式是直连 TCP 端口并检查进程树。
- 先查容器内 MySQL 进程：
podman exec mysql8 pgrep -af mysqld，应输出类似mysqld --basedir=/usr --datadir=/var/lib/mysql ... - 再从宿主机 telnet 测试：
nc -zv localhost 3306，通了才说明端口真正映射成功（注意防火墙和bind-address默认值） - 如果连不上，立刻看日志：
podman logs mysql8 2>&1 | tail -20，重点找Starting MySQL后有没有ready for connections或Aborting - MySQL 8.4 默认禁用远程 root 登录，首次连接请用
podman exec -it mysql8 mysql -uroot -p进容器本地连
最容易被忽略的是 subuid/subgid 分配和 :Z 挂载标记——这两项出问题，其他所有参数都白搭。配置完别急着跑容器，先执行 podman info | grep -E "(subuid|subgid|host|cgroup)" 确认输出里有有效范围和 crun 运行时。
