Можно ли в POST-запросе добавить query-параметры?

Да, POST может содержать query-параметры в URL и отдельное тело; HTTP-метод не запрещает query string.

Например, POST /reports?preview=true с JSON в body. Контракт должен определять смысл каждого поля и поведение при дублировании. Секреты не стоит передавать в query: URL может попасть в логи, историю и аналитику независимо от метода.