Я про chunked encoding тоже давно слухал — вроде бы у многих WAF-ов с этим траблы, особенно если расширения чанков нестандартные. На реальных проектах видел, что часто фильтрация срабатывает только на простые кейсы, а вот сложные мутации могут проскочить. В итоге, лучше всегда тестить конкретную версию, потому что патчи могли что-то менять, но гарантий нет.