Разве исключение чего-то публичного из вашей документации - это не просто вариант "безопасность через неизвестность" (или, скорее, "документация через неизвестность")? Если конструктор является частью API вашего кода, он доступен для использования. Если они узнают об этом и используют его, это их вина (так как вы обнародовали это в первую очередь)?
Если вы можете изменить видимость конструктора или вообще удалить его, я бы пошел на это. Если вы не можете удалить его из API, сообщите в Javadoc для конструктора, что он не предназначен для использования через веб-сервис. Таким образом, вы заключили договор с пользователями вашего API, предупреждая их не использовать его.
Лучше задокументировать, что его не следует использовать, чем вообще не документировать (если он публичный). Отсутствие документирования увеличивает риск непреднамеренного использования, а затем код клиента, использующий его, прерывается при изменении реализации.