windows启动项检查需分层穿透验证，涵盖任务管理器启动页、shell:startup文件夹、hkcu/hklm注册表run键、计划任务及autoruns全扫描共5个互不重叠位置，漏查任一层均可能导致问题软件复活。
启动项检查不是“打开任务管理器点几下就完事”，而是必须分层穿透、逐源验证的过程。Windows 启动项分散在至少 5 个互不重叠的位置，漏查任意一层，都可能让问题软件继续复活。
任务管理器里看到的只是用户级启动项
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到【启动】页，这里只显示由系统识别出的、注册在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 及等效位置的启动项。它不包含：
- 计划任务中设置为“用户登录时触发”的任务（比如某些网盘自动同步脚本）
- 写入
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run的系统级启动项（常被旧版安装包或企业软件使用） - 启动文件夹里的
.lnk快捷方式（绿色软件、便携工具最爱用） - 服务中设为自动启动但未在任务管理器列出的后台进程（如
OpenClaw Gateway这类自研守护进程）
所以仅靠这一栏禁用，转圈问题大概率还会回来。
shell:startup 文件夹是绿色/便携软件的藏身地
按下 Win + R，输入 shell:startup 回车，会直接打开当前用户的启动文件夹（路径通常是 C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）。这里不显示 exe，只放 .lnk，但效果等同于开机自启。
- 检查所有
.lnk文件图标右下角是否有小箭头，确认是快捷方式而非真实程序 - 右键 → 属性 → 查看“目标”字段，确认指向的是可信路径（比如
C:\Program Files\WeChat\WeChat.exe），而非C:\Temp\update.exe或随机命名的可执行文件 - 删除不需要的快捷方式后，该软件下次登录即不会启动；但注意：部分软件（如 DisplayFusion）删了快捷方式后会在重启时自动重建
注册表 Run 键才是底层真相入口
真正决定“开机第一秒跑什么”的，是注册表中的 Run 键。必须手动核对两个位置：
-
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run—— 当前用户专属，多数第三方软件首选写入处 -
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run—— 全局生效，影响所有账户，常见于驱动配套工具、企业管控软件
操作前务必导出备份（右键对应项 → 导出）；删除时只删右侧窗格中的字符串值，不要动整个键；若某条目的“数值数据”为空或指向已删除路径（如 C:\OldApp\launcher.exe），就是典型残留项，可安全删除。
计划任务和 Autoruns 是最后防线
当以上三步做完仍卡顿，问题大概率藏在更隐蔽的地方：
- 打开
taskschd.msc，在左侧展开【任务计划程序库】→ 查看右侧“名称”列，筛选“触发器”含“登录时”或“启动时”的任务，尤其注意名称可疑（如UpdateTask123）、作者为空、操作指向临时目录的任务 - 下载微软官方
Autoruns.exe（Sysinternals 套件），以管理员身份运行 → 它会一次性扫描注册表、启动文件夹、计划任务、服务、浏览器插件等全部持久化入口 → 黄色高亮 = “File not found”（失效残留），红色高亮 = “Not Verified”（未签名/可疑），右键即可删除
复杂点在于：有些启动行为是多层嵌套触发的——比如一个计划任务启动一个 PowerShell 脚本，脚本再调用 reg add 写入 Run 键。单查某一层，永远抓不到根。
