银行催收人员上门要求提供银行流水，这一行为是否合法，需分情况讨论：

1. 合法催收与信息获取权限
   银行作为债权人，有权通过合法方式追讨债务，包括委托第三方催收机构进行催收。然而，催收人员上门要求提供银行流水，其合法性取决于是否获得债务人的明确授权或法院、仲裁机构的合法指令。

   • 若债务人已签署相关协议：如借款合同中明确约定了银行在催收时有权要求债务人提供财务信息（包括银行流水），或债务人单独签署了授权书，同意银行在特定情况下获取其银行流水，则催收人员的行为具有合法性基础。
     
   • 若未获得授权或法院指令：催收人员无权单方面要求债务人提供银行流水。此时，债务人有权拒绝，并可向银行或催收机构提出异议，要求其停止不当催收行为。

2. 催收行为的合规性边界
   即使银行或催收机构有权获取债务人信息，其催收行为也必须遵守法律法规，不得侵犯债务人的合法权益。

   • 禁止非法侵入住宅：催收人员上门时，不得采取非法手段（如强行闯入、威胁、恐吓等）迫使债务人提供银行流水。若发生此类行为，债务人可立即报警，并保留相关证据（如录音、录像、证人证言等），以维护自身权益。
     
   • 保护个人隐私：银行流水属于债务人的个人隐私信息，银行或催收机构在获取、使用该信息时，必须严格遵守《个人信息保护法》等相关法律法规，确保信息的安全性和保密性。若因信息泄露导致债务人遭受损失，银行或催收机构需承担相应的法律责任。

3. 债务人的应对建议

   • 核实催收人员身份：债务人有权要求催收人员出示工作证、授权委托书等证明文件，以确认其身份和催收权限。
     
   • 谨慎提供信息：在未确认催收行为合法性的情况下，债务人应谨慎提供银行流水等敏感信息。若催收人员坚持要求提供，可要求其出具书面通知，并明确告知将通过法律途径解决争议。
     
   • 保留证据并投诉：若催收人员存在不当行为（如威胁、恐吓、非法侵入住宅等），债务人应立即报警，并保留相关证据。同时，可向银行、银保监会或当地金融监管部门投诉，要求其对催收机构进行调查和处理。

总结：银行催收人员上门要求提供银行流水，其合法性取决于是否获得债务人的明确授权或法院、仲裁机构的合法指令。债务人在面对此类要求时，应核实催收人员身份，谨慎提供信息，并在必要时保留证据并投诉。若您对此类问题存在疑问或需要进一步的法律帮助，请直接向我咨询。