将字数组插入到数据库的问题

在将图片上传到数据库操作中，将流存入到byte[] nr = new byte[fs.Length]后，原本想能过
SqlCommand cmd = new SqlCommand("insert into pic2(nr,msg) values('" + nr + "','" + msg + "')")拼接字符串的方式写cmd语句，打开数据库发现插入的nr列（image类型)并不是想要的结果，当换成
SqlCommand cmd = new SqlCommand("insert into pic2(nr,msg) value(@nr,@msg)");SqlParameter para = cmd.Parameters.Add("@nr", SqlDbType.Image);SqlParameter para1 = cmd.Parameters.Add("@msg", SqlDbType.NVarChar);para.Value = nr;para1.Value = msg;这样的话，插入数据库的nr列就是正确的了．
why?