В JPQL / HQL не требуется указывать предложение ON
для объединения, поскольку Hibernate уже знает сопоставления между двумя сущностями и столбцами, необходимыми для создания указанного объединения.
Таким образом, вам действительно нужно предоставить предикаты и запрос на выполнение соединения следующим образом
SELECT u FROM User u
JOIN u.roles ur
WHERE u.username = :username
AND u.password = :password
AND ur.userRole = :role