So isses: Die Angabe des Content-Type ist nicht verlässtlich! Von daher ist bei einer Verarbeitung stets der Inhalt zu prüfen und nicht der Content-Type.
Das gilt übrigens für jeden Request, der ja auch einen Content-Type sendet welcher die weitere Verarbeitung bestimmt.
MFG