全ページに同じアクセス制限するなら、html/index.phpに通常のPHPで書けば良いのではないでしょうか。

それかEccube/Application.phpかコントローラのフックポイント使うかあたりですかね。管理者や管理画面除外するにはこっちのほうが簡単ですね。

最初に正常リファラのアクセスがあった場合はセッションにフラグを保存して、フラグがあればリファラなしで通せば良いのではないでしょうか。

会員サイトもPHPでできてるならシステムincludeしてログインしているかチェックできそうにも思いますが

----------------
PHPエンジニア。
EC-CUBEインテグレートパートナー。