Зависит от реализации SAPI, т.к. вызов header() в итоге приводит к вызову SAPI функции header_handler. В самом PHP ничего такого особого нет с фильтрацией (
тут,
тут и
тут).
Да и никто не мешает frontend'у перед php влиять на заголовки. Например в
nginx.