Las peticiones de tipo PUT y POST siempre llevan request body?

Según yo se hacen por un request body, por qué se quiere agregar una capa de seguridad, por que si se manda la información como query parameter queda expuesta la información para cualquiera que use el navegador. Imaginate pasar información de tu tarjeta de credito de está manera

Si. Aunque al final del día tu especificas por donde quieres que te venga la información, pero es más que nada un estándar, una convención que vengan desde el request body.