Можно ли передавать query-параметры в POST-запросе?

Да, POST-запрос может одновременно содержать query-параметры в URL и тело. HTTP не запрещает такое сочетание.

Смысл параметров определяет контракт API: например, query задаёт режим ответа, а body — создаваемый объект. Не помещайте секреты в URL, где они могут попасть в журналы и историю. Backend должен отдельно валидировать обе части запроса.