网贷机构在特定条件下可以要求借款人提供银行流水，这一要求本身具有合法性，但需严格遵守相关法律规定并履行告知义务。具体分析如下：

1. 合法性依据
   根据《个人贷款管理暂行办法》第十一条、第十三条，贷款人（包括网贷机构）在受理贷款申请时，有权要求借款人提供能够证明其符合贷款条件的相关资料，包括收入证明、银行流水等。银行流水作为证明借款人还款能力的重要材料，属于合法收集范围。

2. 信息收集的边界

   • 目的限制：网贷机构仅能将银行流水用于评估借款人还款能力，不得用于其他非法目的（如出售、泄露给第三方）。
     
   • 比例原则：收集的流水信息应与贷款金额、期限等直接相关，例如申请大额贷款时要求提供近6个月流水，但不得过度索取无关信息（如交易对手身份、消费用途等）。
     
   • 告知义务：网贷机构需在借款合同或隐私政策中明确告知借款人收集流水的目的、范围及使用方式，并获得借款人书面或电子授权。

3. 借款人权利保护

   • 拒绝权：若网贷机构未履行告知义务或超出必要范围索取流水，借款人有权拒绝提供并投诉至地方金融监管部门。
     
   • 异议权：借款人发现网贷机构违规使用流水信息（如用于催收以外的营销活动），可依据《个人信息保护法》要求删除信息并主张赔偿。
     
   • 救济途径：若因流水信息泄露导致损失，借款人可向法院起诉网贷机构侵犯隐私权或合同违约。

4. 实务建议

   • 对借款人：提供流水前仔细阅读合同条款，确认网贷机构资质（如是否持有网络小额贷款牌照）；若对信息用途存疑，可要求网贷机构出具书面说明。
     
   • 对网贷机构：建议通过官方APP或邮件明确告知信息用途，并采用加密技术传输流水文件；对高风险客户，可要求补充其他证明材料（如公积金缴纳记录）以降低合规风险。

总结：网贷机构要求提供流水是合法风险控制手段，但需在法律框架内实施。若您遇到网贷机构违规收集或使用流水信息的情况，可直接向我咨询具体维权方案。