É obrigatório incluir os dados transmitidos apenas no corpo da solicitação POST?

Não, os dados numa requisição POST não precisam de ser enviados apenas no corpo da requisição. Embora normalmente o corpo seja usado para enviar grandes volumes de dados ou dados estruturados (por exemplo, JSON), os parâmetros também podem ser enviados na URL (na string de consulta) ou nos cabeçalhos.

No entanto, de acordo com os padrões HTTP, é melhor enviar os parâmetros que afetam a ação da requisição no corpo para requisições POST, para evitar limitações no comprimento da URL e aumentar a segurança.

Exemplo: pode enviar uma requisição POST com parâmetros na URL, mas isso não é recomendado para dados sensíveis.