Cerca:

Sì certo, ovviamente secondo quanto JPQL è in grado di esprimere e fare.

Così infatti no, è scorretto. La prima questione però: da dove arriva il valore di campo? Direttamente dal front-end? Allora "per sicurezza" dovrebbe come minimo essere validato.

Considera...