Метод create ActiveRecord может принимать хэш атрибутов.Поскольку ваши хеш-ключи в точности соответствуют методам доступа, вы можете просто передать User.create (hash) после установки данных ['picture_url'] так же, как и раньше.Ответ ТАСС по существу правильный, но для более точного соответствия вашему коду:
data['picture_url'] = 'https://graph.facebook.com/' + data['facebook_uid'] + '/picture?type=large'
User.create(data)