Как защитить форму от спама, но не капча, потому что атакуют напрямую скрипт?

В html коде формы указан сприпт, в параметре action. На него идет атака, подсовываются всякие значения в переменной $_GET

Что такое CSRF я не знаю пока...

Аутентификация на сайте не реализована. Отправить заказ может любой. Куки в процессе не участвуют.

Андрей Федоров: Ясно. Разберитесь с CSRF, должно помочь. В общих чертах идея хорошо описана тут https://learn.javascript.ru/csrf