如何修正PowerShell自启动项检测脚本的内容对比逻辑？

原逻辑的核心问题 #

你之前用(Reg) -eq (Get-Content $file)直接对比两个集合的方式完全错误：PowerShell中数组的-eq操作是元素级匹配返回，只会输出两个集合中完全相同的元素，无法识别「当前存在但基线文件中没有」的新增项，更没法定位具体的差异内容。

修正后的实现思路 #

要实现新增自启动项的检测，需要先把当前自启动项和基线文件内容统一格式，再通过集合对比工具找出差异。以下是两种可行的实现方式：

方式1：用Compare-Object对比集合（推荐） #

Compare-Object是PowerShell专门用于对比集合差异的cmdlet，能直接标记出新增/缺失项。

完整代码示例

# 定义基线文件路径
$baselinePath = "C:\Tools\StartupBaseline.txt"

# 1. 获取当前系统的自启动项（覆盖常见注册表位置）
$currentStartup = Get-ItemProperty -Path @(
    'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run',
    'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
    'HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce',
    'HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce'
) | ForEach-Object {
    $regLocation = $_.PSPath
    # 过滤掉PowerShell内置属性，只保留自启动项的名称和值
    foreach ($prop in $_.PSObject.Properties) {
        if ($prop.Name -notin 'PSPath', 'PSParentPath', 'PSChildName', 'PSDrive', 'PSProvider') {
            # 生成唯一标识字符串：注册表路径|项名称|启动值（确保和基线格式一致）
            "$regLocation|$($prop.Name)|$($prop.Value)"
        }
    }
}

# 2. 处理基线文件：不存在则创建，存在则读取对比
if (-not (Test-Path $baselinePath)) {
    $currentStartup | Out-File $baselinePath -Encoding utf8
    Write-Host "已生成初始自启动项基线，下次运行将检测新增项"
    exit
}
$baselineStartup = Get-Content $baselinePath -Encoding utf8

# 3. 对比找出新增项（SideIndicator为"=>"的是当前有但基线没有的内容）
$newItems = Compare-Object -ReferenceObject $baselineStartup -DifferenceObject $currentStartup | 
            Where-Object SideIndicator -eq '=>' | 
            Select-Object -ExpandProperty InputObject

# 4. 输出检测结果
if ($newItems) {
    Write-Host "`n=== 检测到新增自启动项 ==="
    $newItems | ForEach-Object {
        # 拆分字符串显示详细信息
        $regPath, $itemName, $itemValue = $_ -split '\|', 3
        Write-Host "注册表路径: $regPath"
        Write-Host "项名称:      $itemName"
        Write-Host "启动命令:    $itemValue`n"
    }
} else {
    Write-Host "未检测到新增自启动项"
}

方式2：用Where-Object过滤差异 #

如果不想用Compare-Object，可以直接通过-notin操作符过滤出当前自启动项中不在基线里的内容：

核心对比代码替换

# 替换方式1中的对比步骤
$newItems = $currentStartup | Where-Object { $_ -notin $baselineStartup }

# 后续输出逻辑和方式1完全一致

关键细节说明 #

1. 统一格式：必须把每个自启动项转换成唯一标识的字符串（比如示例中的「注册表路径|项名称|启动值」），确保基线和当前内容的对比是精准的，避免因为格式不一致导致误判。
2. 注册表路径覆盖：示例中包含了HKLM（全局）和HKCU（当前用户）下的Run/RunOnce项，你可以根据需求添加其他自启动注册表路径（比如HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run）。
3. 编码问题：保存和读取基线文件时指定-Encoding utf8，避免因为编码差异导致的内容不匹配。

内容的提问来源于stack exchange，提问作者Becharm