picasssaa/photo-gallery — comment on commit c9ac6b98debce099829a86480303760247898fb4
File: app/models/user.rb line 11
By gotva:

нету возможности проверить, но я почитал про данную опцию :as => :admin http://apidock.com/rails/ActiveModel/MassAssignmentSecurity/ClassMethods/attr_accessible
там говорится то если хочешь изменить защищенный аттрибут то надо использовать следующий код
customer = Customer.new
customer.assign_attributes({ "name" => "David", "credit_rating" => "Excellent", :last_login => 1.day.ago }, :as => :admin)
Я нигде не увидел в коде (контроллерах) где используется эта опция.

Думаю, это оберегает от хакерских действий самого пользователя, но сомневаюсь что админ сможет изменить роль другому пользователю, если бы он работал через твои контроллеры (это работает потому что все делает rails_admin - а очень важно понимать как это сделать самому)