为了确保只有管理员权限才能开启ShellStartup启动项，并防止系统自动启动的设置被自动覆盖，您可以采取以下措施：
首先，您需要编写一个脚本，该脚本在尝试添加或修改ShellStartup启动项时，会检查当前用户的权限。如果用户不是管理员，脚本将阻止操作并提示用户需要管理员权限。这可以通过使用PowerShell或命令行工具来实现。例如，在PowerShell中，您可以使用`([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)`来检查用户是否具有管理员权限。
其次，您可以将此脚本与系统的启动项管理机制集成。在Windows系统中，您可以使用注册表来管理启动项。通过修改注册表的相应键值，可以控制启动项的添加和删除。您可以在脚本中添加逻辑，确保只有管理员才能修改这些键值。
此外，您还可以利用Windows的UAC（用户账户控制）功能。通过设置UAC策略，您可以限制普通用户对系统设置的更改。例如，您可以设置UAC级别为“高”，这样普通用户在尝试修改启动项时，系统会提示输入管理员密码。
最后，为了进一步提高安全性，您可以在脚本中添加日志记录功能，记录所有尝试修改启动项的操作，包括操作者、操作时间和操作结果。这样，如果出现异常情况，您可以轻松地追踪和审计。
通过以上措施，您可以确保只有管理员权限才能开启ShellStartup启动项，从而保护系统的自动启动设置不被随意更改。