Personalmente, yo prefiero cabeceras HTTP para CSP. En el caso de que tu hosting no te lo permita pues entonces no te queda de otra que usar meta tags. Ten en cuenta que el navegador tiene que parsear el documento para agregar la cabecera.

Más que nada porque la meta tag que se usa es precisamente para emular una cabecera http. Lo veo contraproducente... si quiero introducir cabeceras a la petición, no necesito introducirlas en el documento. Encima, hay algunas propiedades de CSP que no funcionan con meta tags (como report-uri).

La excepción sería si no pudiera manipular la petición para agregar las cabeceras.