结论：保险强制客户人脸识别是否合法不能一概而论，需分情况讨论。以下从不同角度进行分析：

1. 从法律法规层面
   根据《个人信息保护法》《网络安全法》及《人脸识别技术应用安全管理规定（试行）（征求意见稿）》等规定，处理个人信息（包括人脸信息）需遵循“合法、正当、必要”原则，并取得个人单独同意。若保险公司将人脸识别作为唯一身份验证方式，且未提供其他替代方案（如密码、短信验证等），可能涉嫌违反“必要性”原则，构成强制收集。但若人脸识别是出于反欺诈、合规审计等必要目的，且已明确告知用户并取得同意，则可能合法。

2. 从合同约定层面
   若保险合同或服务条款中明确约定了人脸识别为服务提供的前提条件，且用户签署时已充分知晓并同意，则保险公司可能基于合同约定要求用户配合。但需注意：

   • 条款需以显著方式提示用户（如加粗、单独弹窗）；
     
   • 不得通过“默认勾选”“捆绑同意”等方式变相强制；
     
   • 若条款显失公平（如仅单方面加重用户义务），用户可主张条款无效。

3. 从特殊场景例外
   在部分高风险业务（如大额理赔、反洗钱核查）中，若法律法规或监管要求必须通过人脸识别核实身份，保险公司可能依据法定义务要求用户配合。但此类场景需有明确法律依据，且保险公司需证明“无其他合理替代方案”。

建议：

• 若您被强制要求人脸识别，可要求保险公司说明具体法律依据或合同条款，并询问是否有其他验证方式；
  
• 若认为权益受损，可向当地银保监会或网信办投诉，或通过法律途径主张权利。
  

如有进一步疑问，欢迎直接向我咨询具体场景。