任务管理器“启动”页仅显示用户级可控项，大量隐藏自启项藏于注册表run键、计划任务（登录触发）、shell:startup文件夹及延迟启动服务中，需逐层排查清理。
任务管理器里看到的只是冰山一角，真正拖慢开机、偷偷运行的程序，基本都藏在注册表、计划任务、启动文件夹或系统服务里——光靠右键禁用没用，得逐层挖。
为什么任务管理器“启动”页看不到全部自启项
它只显示被系统标记为“用户级可控”的启动项，比如部分UWP应用和少数桌面软件。而以下几类根本不会出现：
- 写入
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run的32位软件（常见于旧版工具、捆绑安装器） - 通过
shell:common startup放入的全局快捷方式（管理员安装的软件常用） - 触发条件为“登录时”的计划任务（比如
win11-healing-gateway这类监控脚本） - 启动类型为“自动（延迟启动）”的服务（
services.msc里能看到，但任务管理器不列）
这些项禁用后仍可能复活，因为它们绕过了任务管理器的控制层。
快速定位注册表隐藏启动项的实操路径
注册表是顽固自启最常落脚的地方，尤其那些卸载后还残留的程序。别盲目翻，盯死这5个路径：
-
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run（当前用户个人设置） -
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run（全系统生效） -
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run（64位系统跑32位程序专用） -
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce（仅执行一次，但常被恶意软件反复写入） -
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce（系统级一次性启动）
操作时：双击右侧“数值数据”，把完整路径复制出来，粘贴进资源管理器地址栏——如果打不开或提示“找不到文件”，大概率是已卸载残留；不确定的先右键导出该子项备份，再删。
用命令行秒查计划任务中的“登录即跑”项
图形界面翻任务计划程序库容易漏，直接命令行筛更准。以管理员身份运行 PowerShell：
Get-ScheduledTask | Where-Object {$_.Triggers -match "LogOn|AtStartup"} | Format-List TaskName,State,Actions
重点关注 Actions 字段里的 Execute 和 Argument，比如看到 Argument: -ExecutionPolicy Bypass -File "C:\Temp\check.ps1" 就得查这个脚本是否可信。注意：schtask 命令在 Win11 中已逐步弃用，优先用 Get-ScheduledTask。
启动文件夹里藏着最多“.lnk”陷阱
很多绿色软件、小工具、甚至广告程序，就靠扔一个快捷方式进启动文件夹实现自启——任务管理器完全不显示，设置里也找不到开关。
- 当前用户启动文件夹：
shell:startup（对应路径通常是C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup） - 所有用户启动文件夹：
shell:common startup（对应C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp）
进文件夹后，只看带小箭头图标的 .lnk 文件，右键 → 属性 → 查“目标”字段。如果指向 %TEMP%、AppData\Local 或一串随机字符命名的exe，基本可判为可疑。删快捷方式即可，千万别删原exe——你可能根本不知道它在哪。
真正难搞的不是找得到的项，而是那些混在系统服务里、用合法签名伪装、或通过驱动加载的启动行为。这类必须结合 Process Explorer 查父进程，或者用 Autoruns 的“Verify Code Signatures”功能交叉验证——普通用户做到上面四步，已能清理掉95%以上的隐藏自启。
