здесь было обсуждение подобного вопроса.
можно попытаться закрывать ветки в АОТ, можно вставлять хитрые проверки в код. Но это самообман.
Вы правильно выразили суть - если у человека есть права на распределение прав, то он может включить себе разработку.
если у человека есть права на разработку, то он может все.
Это принципиальное свойство прав доступа в открытых системах.
Поищите обсуждение.