windows任务计划程序支持按特定系统事件自动触发任务，需在事件查看器中定位目标事件并记录日志、来源、事件id；在任务计划程序中创建高级任务，配置事件触发器（含xml xpath精确过滤）、启动powershell脚本传参、设置最高权限与失败重试，并通过wevtutil模拟事件及历史记录验证执行。
windows 任务计划程序支持按特定系统事件自动触发任务，关键在于准确绑定事件日志中的目标条目，并确保操作能可靠执行。
定位并确认目标事件
先打开“事件查看器”（eventvwr.msc），找到你希望响应的事件。例如磁盘空间不足警告、服务启动失败、用户登录成功或 PowerShell 脚本执行完成等。双击该事件，在“常规”选项卡中记下三项核心信息：
- 日志：如 System、Application、Security 或自定义应用日志
- 来源：如 Winlogon、NTFS、Dhcp-Client、Microsoft-Windows-PowerShell
- 事件ID：如 4624（登录成功）、7045（新服务安装）、1001（错误报告）
如果多个事件共用同一 ID，还需进入“详细信息”→“XML 显示”，提取 Data[@Name='xxx'] 字段用于后续精准过滤。
创建事件触发式任务
以管理员身份运行 taskschd.msc，点击右侧“创建任务…”（非“基本任务”）：
- 在“常规”选项卡中命名任务，勾选使用最高权限运行，并选择对应系统版本（如 Windows 10/11）
- 切换到“触发器”→“新建”，选择“按特定事件”
- 填写日志名称、来源、事件ID；点击“XML”选项卡，勾选“编辑查询以手动选择事件”，再点“编辑查询”
- 在 XPath 查询框中粘贴或编写表达式，例如：
*[System[(EventID=4624) and Provider[@Name='Microsoft-Windows-Security-Auditing']]] - 如需进一步限定，可追加条件，如：
and *[EventData/Data[@Name='LogonType']='2']（仅交互式登录）
配置响应操作与执行保障
任务被触发后，通常需调用脚本或命令完成实际工作：
- 在“操作”选项卡中点击“新建”，“操作”选“启动程序”
- “程序或脚本”填
powershell.exe，“添加参数”写：-ExecutionPolicy Bypass -File "C:\Scripts\OnLoginNotify.ps1" -EventID $(eventid) -TimeCreated $(timecreated) - PowerShell 脚本可通过
$args或命名参数接收上下文，实现差异化处理 - 在“条件”选项卡中，取消勾选“仅在使用交流电源时运行”，避免笔记本漏触发
- 在“设置”选项卡中启用“如果任务失败，重新运行”，建议设为最多3次、间隔60秒
验证与调试要点
任务创建后不能直接依赖它立即生效，需主动验证：
- 右键任务 → “运行”，观察是否执行；若失败，检查“历史记录”选项卡中的错误码
- 用命令行模拟事件测试：
wevtutil im C:\test.evtx（需提前导出一条匹配事件为 .evtx 文件） - 检查脚本路径、权限、工作目录是否正确；SYSTEM 账户默认无网络访问权，如需发邮件或上传文件，应改用“不管用户是否登录都运行”并存储凭据
- 启用任务计划程序自身的日志：计算机管理 → 服务和应用程序 → 任务计划程序日志 → 启用“操作日志”
