Может ли POST-запрос быть без тела?

Да, POST может быть без тела. Метод задаёт семантику обработки запроса, а необходимость тела определяется контрактом конкретного endpoint.

Например, сервер может запускать действие над ресурсом, указанным в URL, используя авторизацию и уже сохранённые данные. Отсутствие тела не превращает запрос в GET и не гарантирует безопасного повторения. Если API требует JSON, пустой запрос будет ошибкой именно этого контракта. Заранее определите, нужны ли параметры, какой ответ возвращается и как защищаются повторные действия. Не передавайте секреты в URL только ради отказа от тела.