网贷公司要求上传银行流水不合法。以下是具体的法律分析：

一. 隐私权保护

1. 法律依据：根据《中华人民共和国民法典》第一千零三十二条，自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。
2. 分析：银行流水属于个人的私密信息，受到隐私权的保护。网贷公司无权要求借款人上传银行流水，除非有明确的法律授权或借款人自愿提供。

二. 商业银行保密原则

1. 法律依据：根据《中华人民共和国商业银行法》第二十九条，商业银行办理个人储蓄存款业务，应当遵循存款自愿、取款自由、存款有息、为存款人保密的原则。对个人储蓄存款，商业银行有权拒绝任何单位或者个人查询、冻结、扣划，但法律另有规定的除外。
2. 分析：商业银行有义务为存款人保密，拒绝任何单位或个人非法查询、冻结、扣划个人储蓄存款。网贷公司不属于法律另有规定的可以查询个人银行流水的主体。

综上所述，网贷公司要求上传银行流水不合法，侵犯了借款人的隐私权和商业银行的保密原则。我建议借款人应谨慎对待网贷公司的此类要求，如有必要，可咨询相关部门或寻求法律援助。如有进一步需要，您可以继续咨询我。