私個人の考えも入っているので、ちと間違っているかもしれませんが...

たとえば、/hoge/hage/public_htmlが公開ディレクトリだとします。
で、webサーバはapacheが多いと思うのですが、apacheではhttpd.confという設定ファイルでドキュメントルートを設定しています。



これにより、http://yourdomain.com/ にアクセスすると、/hoge/hage/public_htmlにアクセスするようになっています。

そこでEC-CUBEを/hoge/hage/public_htmlに解凍した場合、



となりますので、EC-CUBEへのURLはhttp://yourdomain.com/eccube/html/ となるところまではよろしいでしょうか？

で、EC-CUBEではそもそもドキュメントルートを変更することが前提になっていて。



これでhttp://yourdomain.com/ にアクセスするとEC-CUBEの画面にアクセスできるわけですね。
と同時にEC-CUBEの動作部分となるdataには、URLからアクセスできなくなり、セキュリティも確保されます。

実際はたったこれだけなんですよ。

ただし。

これが大事なんですけど、httpd.confをいじれるサーバ、ようするにroot権限を持てるサーバが必要です。

簡単にいえば、共有サーバは×、VPSや専用サーバでroot権限が与えられているサーバが○ということ。

ではなんで共有サーバでEC-CUBEを動かそうとするのか？というのが普通は問題視されるところのはずなんですけどね（汗）。