Windows可通过任务计划程序创建基于事件日志的自动响应任务：需准确配置日志、来源、事件ID及XPath过滤（如EventData字段），并设置操作、权限与条件，保存后即时生效。
当系统中出现磁盘空间不足警告、某服务意外停止或用户登录失败等特定事件时，Windows可自动运行你指定的程序进行告警、清理或修复，无需人工干预。
创建基于事件日志的触发任务
打开任务计划程序：按 Win + R，输入 taskschd.msc，回车并允许UAC提示。
在右侧面板点击“创建任务”（不是“基本任务”），勾选【使用最高权限运行】和“配置为：Windows 10”（若为Win11则选Windows 11）。
切换到“触发器”选项卡 → 点击“新建” → 在“开始任务”下拉菜单中选择“按特定事件”。
关键三步必须填准：日志选 System 或 Application；来源填具体名称，例如 Winlogon（登录事件）或 Service Control Manager（服务事件）；事件ID填纯数字，比如 7036 表示服务状态变更。填错任一字段将导致任务完全不触发。
点击“XML”选项卡 → 勾选“编辑查询以手动选择事件” → 点击“编辑查询” → 在弹出窗口中点“事件数据”标签页 → 输入XPath过滤表达式，例如：
*[System[(EventID=7036) and (Provider[@Name='Service Control Manager'])]]
精准匹配事件内容（避免误触发）
仅靠事件ID常会匹配大量无关条目。比如事件ID 7036 每次服务启停都记录，但你只想响应“Spooler服务已停止”。这时必须加EventData字段过滤。
方法一：从事件查看器提取真实数据
打开“事件查看器” → 找到一条目标事件（如Spooler停止）→ 右键“属性” → “详细信息”选项卡 → 切换到“XML显示” → 复制整个
方法二：拼接XPath条件
回到任务触发器的XML编辑器，在原表达式末尾添加：
and *[EventData/Data[@Name='param1']='Spooler'] and *[EventData/Data[@Name='param2']='stopped']]
注意：XPath中单引号不能省略，且大小写敏感。写成'spooler'或漏掉and会导致语法错误，任务保存失败。
设置操作：运行程序或PowerShell脚本
切换到“操作”选项卡 → 点击“新建” → “操作”选“启动程序”。
若直接运行exe：在“程序或脚本”栏填绝对路径，例如：C:\Tools\alert.exe；“起始于”可留空或填该程序所在目录。
若需传递事件上下文（推荐）：
程序或脚本填：powershell.exe
参数填：-ExecutionPolicy Bypass -File "C:\Scripts\on-event.ps1" -EventID $(eventID) -LogName $(logName) -TimeCreated $(timeCreated)
这一步必须确保脚本路径不含中文或空格，否则PowerShell会因路径解析失败而静默退出。建议把脚本放在C:\Scripts\这类简洁路径下。
关键条件与权限配置
切换到“条件”选项卡：
取消勾选“只有在计算机使用交流电源时才启动此任务”（否则笔记本电池模式下失效）；
勾选“要启动任务，计算机必须处于空闲状态” → 必须取消，否则事件发生时若系统正忙，任务会被跳过。
切换到“设置”选项卡：
勾选“如果任务失败，重新尝试”，设间隔1分钟、最多3次——因为事件刚写入日志时，PowerShell环境可能尚未初始化完成；
【务必勾选“运行任务时，不存储密码。任务只在用户登录时运行”下方的复选框】，否则以SYSTEM身份运行时无法访问当前用户桌面或GUI程序。
点击“确定”保存任务。此时任务立即生效，无需重启服务或注销。
