问题: 虚拟机和Docker容器有什么区别？

👇 点击展开/折叠 面试背诵模板（建议先背这个） 虚拟机通过Hypervisor虚拟化物理硬件，运行完整的客户操作系统和内核，实现硬件级隔离，启动慢（分钟级），资源占用大（GB级）。Docker容器运行在主机操作系统上，共享主机内核，通过命名空间和cgroups实现进程级隔离，启动快（秒级），占用小（MB级）。虚拟机隔离性更强，支持多种操作系统；Docker更轻量、资源利用率高，适合敏捷开发和微服务架构。
---

一、核心架构差异：硬件级虚拟化 vs 操作系统级虚拟化

虚拟机（VM）基于硬件虚拟化技术，通过Hypervisor（如VMware、KVM）模拟完整的硬件环境（CPU、内存、磁盘、网卡等），每个虚拟机都包含独立的客户操作系统（Guest OS）和内核，相当于在物理机上“模拟”出一整台完整的电脑。Docker基于操作系统级虚拟化，直接运行在宿主机内核之上，通过命名空间（Namespace）隔离资源视图（进程、网络、文件系统等），通过控制组（Cgroups）限制资源配额，本质是宿主机上的一个隔离进程，不包含独立的操作系统内核。

二、资源消耗与启动速度对比

虚拟机因需要加载完整的客户操作系统，通常占用数GB磁盘空间和较大内存，启动时间以分钟计。Docker容器直接共享宿主机内核，仅包含应用程序及其依赖，镜像大小通常为MB级，启动时间为毫秒或秒级。在相同物理机上，可同时运行容器的数量远多于虚拟机数量。

三、隔离安全性与兼容性

虚拟机实现了硬件级隔离，攻击者极难突破Hypervisor层访问宿主机或其他虚拟机，安全性高，且可运行Windows、Linux等多种操作系统。Docker容器共享宿主机内核，隔离性较弱（存在内核逃逸风险），且所有容器必须使用与宿主机相同内核版本的操作系统。

四、适用场景与选型建议

维度 虚拟机 Docker容器
推荐场景 传统企业IT、多操作系统混合环境、强隔离安全需求（如金融、政务） 微服务架构、CI/CD流水线、敏捷开发测试、DevOps
不推荐场景 轻量级快速迭代、资源受限的环境 需运行多种不同操作系统内核、对隔离性有极高要求的环境
典型搭配 在虚拟机内部署Docker（即“VM + Container”混合架构） 常用于Kubernetes集群底层节点（云主机通常也是虚拟机）

五、一句话总结

虚拟机模拟的是“硬件”，隔离的是“操作系统”；Docker模拟的是“进程”，隔离的是“运行环境”。两者是互补关系而非替代关系，实际生产中常组合使用。