结论：虚拟机通过 Hypervisor 虚拟化整套硬件并运行完整客户机操作系统；容器则是宿主机操作系统之上的进程级隔离，共享宿主机内核，只打包应用及其依赖。

展开：区别体现在四个层面：1）资源开销：虚拟机镜像通常 GB 级，启动分钟级；容器镜像 MB 级，启动毫秒到秒级。2）隔离性：虚拟机是硬件级隔离，安全性更强；容器依赖 Linux Namespace（隔离 PID、网络、挂载点等）和 Cgroups（限制 CPU/内存），隔离粒度弱一些，共享内核意味着内核漏洞影响面更大。3）性能：容器几乎没有虚拟化损耗，接近原生。4）适用场景：强隔离多租户、异构操作系统用虚拟机；微服务、CI/CD、弹性扩缩容用容器。面试常追问：容器安全性如何增强？可答 gVisor、Kata Containers 这类用轻量虚拟机跑容器的折中方案。易错点：不要说容器是轻量级虚拟机，它本质是受限进程，不是虚拟化技术。