如何使用recaptcha防止基于Javascript的攻击

我已经建立了一个网站，它根据。该网站包含一个向导，用户可以通过该向导预订假期。在每个步骤中，我都执行以下代码：

function exec(action) {
    grecaptcha.execute(<myToken>, {action: <theNameOfTheWizardStep>}).then(function(token) {
        // verify with the backend
        let config = {method: 'POST', headers: {'Content-Type': 'application/json'},
                      body: JSON.stringify({recaptchaToken: token, ...}) };
        fetch('/book?action=' + action, config).then(r=>r.json()).then(result => {
            console.log(action + " result: " + JSON.stringify(result));
        });
    });
}

这很有效，在每一步中我都得到了0.9分

我需要保护我的服务器免受如下机器人攻击，我假设如果编写脚本用机器人请求轰炸服务器，分数会下降，但事实并非如此。我是否编程有误，或者这种攻击不是recaptcha设计用来防御的？

function thisIsAnInjectedHackerScript() {
    for(var i = 0; i < 50; i++) {
        exec('book_step2')
        .then(result => {
            console.log("executed " + i);
        });
    }
}

函数thisisanjectedhackerscript（）{
对于（变量i=0；i<50；i++）{
执行官（“第二步登记簿”）
。然后（结果=>{
控制台日志（“已执行”+i）；
});
}
}

verified: {u'action': u'book_step2', u'score': 0.9, u'hostname': u'mydomain.com', u'challenge_ts': u'2020-04-05T22:52:45Z', u'success': True}

function thisIsAnInjectedHackerScript() {
    for(var i = 0; i < 50; i++) {
        exec('book_step2')
        .then(result => {
            console.log("executed " + i);
        });
    }
}