结论：银行在法人变更但未收到通知的情况下锁定公司公户，其合法性需结合具体情况判断，但通常银行有权基于风险防控采取此类措施，不过应确保程序合规并尽快通知公司。

分析：

1. 银行的风险防控义务：

   • 银行作为金融机构，负有保障客户资金安全、防范金融风险的义务。在法人变更等可能影响公司账户安全性的情况下，银行有权采取必要措施进行风险防控，包括但不限于锁定账户。

2. 银行锁定账户的合法性基础：

   • 银行锁定账户的行为，通常基于其内部风险管理规定或相关法律法规的要求。例如，若银行怀疑账户存在异常交易、洗钱风险或法人变更未按规定通知可能导致账户安全风险时，银行有权采取锁定措施。
   • 但需注意，银行在采取此类措施时，应确保有充分的合理依据，并遵循相关法律法规和内部程序。

3. 银行未通知即锁定账户的问题：

   • 从法律程序的角度看，银行在锁定账户前或锁定后应尽快通知公司，以便公司及时了解账户状态并采取相应措施。若银行未履行通知义务，可能构成程序上的瑕疵。
   • 然而，这并不意味着银行锁定账户的行为本身必然违法。若银行能证明其锁定账户的行为是基于合理的风险防控需要，且未通知的行为未对公司造成实质性损害，则银行的行为可能仍被视为合法。

4. 公司的应对措施：

   • 若公司发现公户被银行锁定，且未收到任何通知，应首先与银行联系，了解锁定原因并要求银行尽快解除锁定。
   • 若银行拒绝解除锁定或未给出合理解释，公司可考虑向银行监管部门投诉或寻求法律途径解决。

5. 法律建议：

   • 对于公司而言，建议在法人变更后及时向银行更新相关信息，以避免因信息不对称导致的账户锁定等问题。
   • 若银行锁定账户的行为给公司造成了损失，公司可依据相关法律法规和合同约定，要求银行承担相应的赔偿责任。

总结：银行在法人变更但未收到通知的情况下锁定公司公户，其合法性需结合具体情况判断。虽然银行有权基于风险防控采取此类措施，但应确保程序合规并尽快通知公司。若公司因此遭受损失，可依法要求银行承担赔偿责任。如有任何疑问或需要进一步的法律帮助，请直接向我咨询。