Warum ist dieser captch_code ein String statt eines Bytes, nachdem die Schleife endet?

Question

Nimmt dieser captch_code nicht jedes Mal ein zufälliges Zeichen in der for-Schleife an? Warum wird er zu einer Zeichenfolge, wenn er nach dem Ende der Schleife in der Sitzung gespeichert wird? Es gibt kein Spleißen.