网贷App每次刷脸才能登录这一行为本身并不直接违法，但需满足一定条件且不能侵犯用户合法权益。以下从不同角度进行分析：

1. 从技术安全与合规性角度
   根据《网络安全法》和《个人信息保护法》，金融机构（包括网贷平台）有义务采取必要的技术措施保障账户安全，防止用户信息泄露或账户被盗用。刷脸登录属于生物识别技术，若平台已获得用户明确授权（如通过隐私政策或单独同意），且采用符合国家标准的加密技术存储和处理人脸信息，则属于合法合规的安全措施。
   关键点：平台需证明刷脸是“必要且最小化”的安全手段，而非过度收集信息。

2. 从用户知情权与选择权角度
   若平台在用户注册或使用前未清晰告知“每次登录需刷脸”，或未提供其他替代登录方式（如密码+短信验证码），则可能侵犯用户知情权和选择权。根据《个人信息保护法》第14条，处理个人信息需取得用户“单独同意”，且用户有权拒绝或撤回同意。
   建议：用户可检查App隐私政策中是否明确说明刷脸登录的必要性及频率，若未说明可要求平台解释或投诉。

3. 从数据安全与泄露风险角度
   若平台因技术漏洞导致人脸信息泄露，或将信息用于非登录目的（如精准营销、共享给第三方），则涉嫌违法。根据《个人信息保护法》第66条，违规处理个人信息可处5000万元以下罚款或吊销业务许可。
   用户应对：若怀疑信息泄露，可要求平台删除人脸数据并举报至网信部门。

4. 特殊场景下的合法性边界

   • 频繁刷脸是否合理：若平台无故要求每小时刷脸一次，可能超出必要限度，用户可主张平台侵犯隐私权。
     
   • 强制刷脸是否合法：若平台以“不刷脸就无法使用服务”为由强制用户同意，可能违反《个人信息保护法》第16条（不得以不同意为由拒绝提供产品服务）。
     

总结建议：

• 若平台已充分告知、取得同意且提供替代方案，刷脸登录合法；
  
• 若平台存在隐瞒、强制或滥用行为，用户可通过以下途径维权：
  
  1. 向平台客服投诉并要求整改；
     
  2. 向当地网信办或金融监管部门举报；
     
  3. 起诉平台侵犯个人信息权益（需保留隐私政策、登录记录等证据）。
     

如有具体平台名称或操作细节，可进一步分析其合规性。