windows无内置“按添加时间排序启动项”功能，任务管理器仅显示启动影响等级与路径，注册表run键值可通过最后修改时间反向定位，powershell可聚合多源信息并按creationtime筛选计划任务辅助识别新项。
Windows 没有内置的“按添加时间排序启动项”功能，所有标准工具（任务管理器、msconfig、注册表编辑器）都不记录时间戳。所谓“最近添加”，只能靠人工交叉比对和行为推断。
任务管理器里看不出新增时间，但能快速筛出可疑项
任务管理器的“启动应用”标签页虽然不显示添加时间，但它会实时反映当前加载状态和启动影响等级，这对识别新加入的项目很有用：
-
启动影响列为“高”或“中”的项目，尤其是你近期没手动启用过的，大概率是新软件安装时悄悄加进去的 - 右键点击某启动项 → “属性” → 查看
位置路径：如果路径里含Temp、AppData\Local\Temp、Update、Updater或陌生公司名（比如xyztech_updater.exe），基本可判定是新近植入 - 注意名称伪装：有些程序起名类似系统进程（如
svchostx.exe、winsysmgr.exe），但实际不在C:\Windows\System32\下，这类要重点查
注册表 Run 键值无法排序，但能通过修改时间反向定位
注册表本身不存“添加时间”，但 Windows 会更新键值的最后修改时间。如果你记得大致时间段（比如“昨天装了某PDF工具”），可以据此缩小范围：
- 打开
regedit，导航到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - 在右侧空白处右键 → “排序” → 选择“修改时间”（仅限 Windows 10/11 22H2 及更新版本；旧版不支持）
- 若系统不支持按时间排序，就逐个右键键值 → “修改”，观察弹窗顶部显示的“最后修改时间”——刚加的项，时间通常非常接近你安装软件的时刻
- 特别注意那些值数据（Value data）指向
%APPDATA%、%LOCALAPPDATA%或子目录的条目，它们几乎全是用户级软件自启所写
PowerShell 是唯一能批量提取并按时间线索辅助判断的方案
虽然 PowerShell 也不能直接读取“添加时间”，但它能聚合多个入口的启动信息，并暴露路径、签名、发布者等线索，帮你快速锁定异常新增项：
- 以管理员身份运行 PowerShell，执行：
Get-CimInstance -Query "SELECT Name, Command, User, Location FROM Win32_StartupCommand" | Sort-Object -Property Name - 结果中的
Location字段会显示来源（如Registry、StartupFolder、TaskScheduler），结合Command路径可快速定位藏身位置 - 再补一条验证命令，查计划任务中“最近创建”的登录触发任务：
Get-ScheduledTask | Where-Object { $_.Triggers -match "LogOn|AtStartup" } | Sort-Object -Property CreationTime -Descending | Select-Object TaskName, TaskPath, CreationTime -First 5 - 如果某任务的
CreationTime是今天或昨天，且TaskName名称模糊（如UpdateCheck_12345），十有八九就是新软件埋的雷
真正难处理的不是“怎么找”，而是“怎么确认它该删”。很多启动项删了会导致软件更新失效、托盘图标不出现、甚至某些硬件驱动失联。建议先禁用再观察两天，而不是看到陌生名字就立刻删除——尤其当路径里带 Intel、NVIDIA、Realtek、Dell、Lenovo 等厂商名时，得先查清用途再动手。
