美容机构索要身份证号的行为是否违法，需分情况讨论：

1. 若美容机构无法律依据或未经同意索要身份证号，则涉嫌违法
   根据《中华人民共和国居民身份证法》第十三条，除法律、行政法规规定需要用身份证登记的事项外，公民有权拒绝提供身份证信息。美容机构作为商业主体，通常不属于法律明确授权可收集身份证号的机构（如银行、公安机关等）。若其以“会员登记”“服务备案”等理由强制索要，且未明确告知用途、未取得消费者书面同意，则可能侵犯公民个人信息权，涉嫌违反《个人信息保护法》第十条（处理个人信息需有合法、正当、必要目的）及第十三条（需取得个人同意）。

2. 若美容机构基于合法目的且履行告知义务，索要行为可能合法
   若美容机构因特定法律要求（如办理医疗美容项目备案、税务登记等）需核实身份，或为履行合同必要义务（如开具发票、购买高风险服务需实名），且在索要时明确告知用途、保存期限及安全措施，并取得消费者书面同意，则可能符合《个人信息保护法》的合法处理条件。但需注意，即使合法收集，机构也需严格保密，不得泄露或非法使用，否则仍需承担法律责任。

建议：

• 消费者可要求美容机构说明索要身份证号的具体法律依据或合同依据，若无法提供，有权拒绝；
  
• 若机构以不提供身份证号为由拒绝服务，可向市场监管部门投诉或通过法律途径主张权利；
  
• 机构若需收集身份证号，应签订书面告知书，明确用途、期限及安全责任，避免后续纠纷。
  

如有进一步疑问，可直接向我咨询具体场景下的法律风险。