>この状態でも、ECCUBE_FORCE_SSL=falseは危険なのでしょうか？
htaccessによる制御が正しく行えているという前提であれば危険は少ないかと思います。
（ここでいう危険とは閲覧者、または管理者がサイトにログインする際、httpでアクセスしている事に気付かないまま、ログインの操作を行う場合を危惧しています）
私はhtaccessはちょっとした記述ミスをする可能性が高い方法かと思っており、あまり頼らないようにしています。
私が理解しきれていないという理由もありますので、あくまで参考程度としていただければ幸いです。

ECCUBE_FORCE_SSL=trueの時の処理は
ルーティングに関する処理なのでプラグイン等では挙動が変更できないのではないかと思います。
ECCUBE_FORCE_SSL=falseの環境で運用されているのであれば、htaccessで制御する事になるかとは思います。
肝心のhtaccessの書き方は私は分からない為、力になれず申し訳ございません。

----------------
株式会社シロハチ
■ECCUBE2系、3系構築カスタマイズご相談ください。
■EC-CUBE3マニュアル
■blog