银行在办理业务时要求刷脸，在符合法律法规和监管要求的前提下，是合法的。以下从不同角度对此问题进行详细分析：
一、法律法规依据
《中华人民共和国个人信息保护法》：该法规定了个人信息的处理原则，包括合法、正当、必要原则。银行在办理业务时要求刷脸，通常是为了验证客户身份，确保业务的安全性和合规性。只要银行在收集、使用、处理客户生物识别信息（如人脸信息）时，遵循了合法、正当、必要的原则，并获得了客户的明确同意，就符合该法的规定。
《中华人民共和国网络安全法》：该法要求网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。银行作为网络运营者的一部分，在办理业务时要求刷脸，同样需要遵守这些规定。
二、监管要求
三、实际操作中的合法性判断
客户同意：银行在要求客户刷脸前，应当明确告知客户刷脸的目的、方式和范围，并获得客户的明确同意。如果客户不同意刷脸，银行应当提供其他合理的身份验证方式。
信息安全保障：银行在收集、使用、处理客户生物识别信息时，应当采取必要的技术措施和管理措施，确保信息的安全性和保密性。如果银行未能妥善保管客户信息，导致信息泄露或被滥用，将承担相应的法律责任。
业务必要性：银行要求刷脸的业务应当具有必要性。例如，对于大额取款、转账等高风险业务，刷脸可以作为额外的身份验证方式，提高业务的安全性。但对于一些低风险业务，如查询余额等，可能不需要刷脸验证。
四、可能的法律后果
如果银行在办理业务时要求刷脸，但未遵循法律法规和监管要求，如未获得客户同意、未妥善保管客户信息或要求刷脸的业务不具有必要性等，可能面临以下法律后果：
行政处罚：监管机构可能对银行进行行政处罚，如罚款、责令改正等。
民事赔偿：如果银行的行为导致客户信息泄露或被滥用，给客户造成损失的，银行可能需要承担民事赔偿责任。
刑事责任：在极端情况下，如果银行的行为构成犯罪，如侵犯公民个人信息罪等，相关责任人员可能需要承担刑事责任。
建议：作为客户，在办理银行业务时，如果银行要求刷脸，可以询问银行刷脸的目的、方式和范围，并确认是否获得了自己的明确同意。同时，也可以关注银行是否采取了必要的信息安全保障措施。如果有任何疑问或担忧，可以直接向我咨询，我将为你提供专业的法律意见。