规范规定，测试防止非授权访问和控制功能时，需分别使用授权用户和非授权用户访问和控制设备，查看设备响应。因此，选项A、B属于规范要求的测试操作步骤。选项C、D不属于该测试项目的规定操作。