Можно ли подделать Content-length?
Если Content-Length больше фактического тела, тогда веб-сервер будет ожидать получения данных и в итоге завалится по таймауту так и не дождавшись всех данных (либо часть следующего запроса попадет в конец тела текущего), если же наоборот - то конец текущего запроса попадет в начало следующего и следующий запрос завалится.
То есть если вы получили корректный запрос - то Content-Length это фактическое количество данных.
Если вы реализовываете HTTP сервер самостоятельно - вам нужно всё это проверять, если же пользуетесь готовым - то по факту да, можно доверять.
Думаю, это можно легко проверить при помощи curl и ручного формирования заголовков.