结论：小区人脸识别门禁只对业主开放是否合法，取决于是否征得业主同意以及是否遵循相关法律法规关于个人信息处理的规定。在获得充分授权并遵守法律的前提下，该做法是合法的；反之，则可能构成违法。以下从多个角度进行详细分析：
一、合法性基础
个人信息保护：
- 根据《中华人民共和国民法典》第一千零三十四条，人脸信息作为生物识别信息，属于个人信息范畴，受法律保护。
- 小区采用人脸识别进出系统，必须基于业主的同意，这符合《中华人民共和国个人信息保护法》第十三条规定的“取得个人同意”原则。
业主共同决定权：
- 依据《中华人民共和国民法典》第二百七十八条，小区安装人脸识别门禁系统涉及资金募集、使用及建筑设施改建等事项，需由业主共同决定。
- 具体表决需满足专有部分面积占比三分之二以上且人数占比三分之二以上的业主参与，且至少经参与表决专有部分面积过半数且人数过半数的业主同意。
二、信息处理规范
告知与同意：
- 物业在处理（包括收集、存储、使用等）人脸信息前，应以显著方式、清晰易懂的语言向业主告知处理目的、方式、种类、保存期限等信息，依据《中华人民共和国个人信息保护法》第十七条。
- 必须取得业主的单独同意，不得过度收集信息，也不得要求业主授予无期限限制、不可撤销或任意转授权的处理权利，依据《中华人民共和国个人信息保护法》第二十九条。
信息安全保护：
- 物业应确保刷脸门禁系统的安全性，采取必要的安全保护措施，防止信息泄露、篡改或毁损，这符合《中华人民共和国网络安全法》和《中华人民共和国数据安全法》的要求。
三、违法情形
未经同意的强制实施：
- 若物业在未经小区业主同意的情况下，强制将人脸识别作为进出小区的唯一验证方式，则构成对业主个人信息的非法处理，违反相关法律法规。
侵犯隐私与信息安全：
- 如物业在收集、使用业主面部信息时未遵循合法、正当、必要原则，或未明确告知业主相关信息并取得单独同意，则可能侵犯业主的隐私权。
- 若刷脸门禁系统存在安全漏洞，导致业主面部信息被非法获取或滥用，物业可能违反信息安全保护的相关法律规定。
四、实际操作建议
物业方面：
- 在实施人脸识别门禁系统前，应确保获得业主的充分授权，并遵循相关法律法规关于个人信息处理的规定。
- 制定完善的信息安全管理制度，确保业主面部信息的安全存储和使用。
业主方面：
- 在同意物业实施人脸识别门禁系统前，应仔细阅读相关告知书或协议，了解自己的权利和义务。
- 如发现物业存在违法处理个人信息或侵犯隐私的行为，应及时向相关部门投诉或寻求法律帮助。
特殊说明：在某些特殊情况下，如为了维护小区的公共安全、公共秩序等合法权益，且采取的措施是必要的、合理的，并未过度侵犯业主权益时，使用刷脸门禁系统可能不构成违法。但这需根据具体情况进行权衡和判断，且必须确保符合相关法律法规的规定。
如有任何疑问或需要进一步的法律帮助，请直接向我咨询。